Un nuevo malware para macOS, previamente no documentado, está engañando silenciosamente a los usuarios mediante páginas falsas de verificación humana de Cloudflare. Llamado Infiniti Stealer, esta amenaza utiliza un conocido truco de ingeniería social denominado ClickFix para convencer a los usuarios de Mac de ejecutar comandos peligrosos directamente en sus propias máquinas, evitando así la necesidad de explotar alguna vulnerabilidad de software.

Un nuevo malware para macOS que hasta ahora no estaba documentado, está engañando silenciosamente a los usuarios mediante páginas falsas de verificación humana de Cloudflare.

Llamado Infiniti Stealer, esta amenaza utiliza un truco de ingeniería social conocido como ClickFix para convencer a los usuarios de Mac de ejecutar comandos peligrosos directamente en sus propias máquinas, evitando la necesidad de cualquier vulnerabilidad de software o exploit.

Durante mucho tiempo, muchos usuarios de Mac han creído que sus sistemas son naturalmente resistentes al malware. Infiniti Stealer desafía directamente esa suposición. El malware fue rastreado originalmente bajo el nombre interno NukeChain durante la caza rutinaria de amenazas.

Justo antes de su divulgación pública, el panel de control del operador del actor de amenazas se hizo visible accidentalmente en línea, revelando el verdadero nombre del malware y confirmando que se trata de una campaña estructurada y en curso dirigida directamente a usuarios de macOS.

Analistas de Malwarebytes identificaron a Infiniti Stealer como la primera campaña documentada para macOS que combina la entrega mediante ClickFix con un stealer de Python compilado con Nuitka.

El ataque comienza en un dominio malicioso, update-check[.]com, que aloja una réplica casi perfecta de una página de verificación humana de Cloudflare.

Los visitantes de la página falsa reciben instrucciones de abrir Terminal, pegar un comando proporcionado y presionar Return. Lo que parece ser una verificación de identidad rutinaria activa inmediatamente toda la cadena de infección.

Lo que hace que este ataque sea especialmente peligroso es que no depende de ninguna falla de software. No hay un archivo malicioso para descargar, ningún adjunto de phishing ni exploit de descarga automática.

El atacante depende completamente de que el usuario confíe en el CAPTCHA falso. Una vez que se ejecuta el comando, la carga útil del malware se ejecuta silenciosamente en segundo plano, sin dejar señales obvias de que algo haya salido mal.

El potencial de daño de Infiniti Stealer es serio y de gran alcance. El malware está diseñado para robar credenciales de inicio de sesión de navegadores basados en Chromium y Firefox, recolectar entradas del llavero de macOS, vaciar billeteras de criptomonedas, tomar capturas de pantalla durante la ejecución y extraer secretos en texto plano de archivos del entorno de desarrollo como .env.

Todos los datos recopilados se envían a un servidor remoto mediante solicitudes HTTP POST, y el operador recibe una notificación inmediata en Telegram una vez que se completa la carga.

Cadena de infección de tres etapas

Una vez que la víctima ejecuta el comando en Terminal, Infiniti Stealer trabaja en tres etapas separadas para completar el compromiso. La primera es un script de instalación en Bash que utiliza una plantilla también encontrada en stealers anteriores de macOS como MacSync, lo que sugiere el uso de un constructor de malware compartido.

El script decodifica una carga útil integrada, escribe el binario de la siguiente etapa en la carpeta /tmp, elimina el atributo de cuarentena de macOS y ejecuta el archivo silenciosamente usando nohup.

Luego se elimina a sí mismo y cierra Terminal mediante AppleScript, asegurando que la víctima no vea nada inusual.

La segunda etapa entrega un binario Mach-O para Apple Silicon de alrededor de 8.6 MB, construido usando el modo onefile de Nuitka.

A diferencia de PyInstaller, Nuitka compila el código fuente de Python a C y produce un binario nativo, lo que hace que el análisis estático sea significativamente más difícil para herramientas de seguridad. En tiempo de ejecución, este cargador descomprime alrededor de 35 MB de datos integrados y transfiere la ejecución a la carga útil final.

La tercera etapa, UpdateHelper[.]bin, es un stealer de Python 3.11 también compilado con Nuitka.

Antes de robar cualquier dato, verifica si se está ejecutando dentro de entornos de análisis conocidos como any.run, Joe Sandbox, Hybrid Analysis, VMware o VirtualBox.

También añade un retraso de ejecución aleatorio para evitar activar sistemas de detección automatizados.

Si sospechas que puedes haber sido afectado, toma estas medidas inmediatamente:

• Deja de usar el dispositivo para actividades sensibles, incluyendo banca, correo electrónico y cuentas de trabajo.
• Cambia las contraseñas desde un dispositivo limpio, comenzando con el correo electrónico, Apple ID y credenciales bancarias.
• Revoca sesiones activas e invalida cualquier token API o clave SSH.
• Busca cualquier archivo inusual colocado en /tmp y ~/Library/LaunchAgents/.
• Ejecuta un análisis de seguridad completo para detectar y eliminar cualquier malware restante.

Ninguna página legítima de CAPTCHA te pedirá nunca que abras Terminal y ejecutes un comando. Si un sitio web te indica que lo hagas, ciérralo inmediatamente.