Ciberdelincuentes están llevando a cabo una sofisticada campaña de malvertising dirigida a usuarios de macOS. La operación utiliza anuncios patrocinados de Google y aplicaciones engañosas de inteligencia artificial para redirigir a las víctimas a páginas fraudulentas. Mediante el uso de plataformas de alojamiento confiables y la técnica de ingeniería social conocida como "Clickfix", los atacantes logran distribuir payloads de MacSync.

Los actores de amenazas están ejecutando una sofisticada campaña de malvertising dirigida a usuarios de macOS a través de anuncios de Google envenenados y aplicaciones engañosas de inteligencia artificial.

Recientemente, investigadores descubrieron una operación que redirige a las víctimas a páginas de destino fraudulentas mediante resultados de búsqueda patrocinados.

Al combinar plataformas de alojamiento confiables con la notoria táctica de ingeniería social "Clickfix", los atacantes están distribuyendo con éxito cargas útiles de MacSync y peligrosos robadores de información para macOS.

La cadena de ataque comienza cuando un usuario busca software popular, particularmente herramientas de IA como Claude.

Anuncios de Malware para macOS

Los atacantes manipulan los resultados de los motores de búsqueda comprando anuncios patrocinados que aparecen en la parte superior de las páginas de resultados.

Debido a que estos anuncios suelen imitar a proveedores legítimos, a los usuarios finales les resulta difícil distinguirlos de los enlaces auténticos.

Al hacer clic, estos anuncios patrocinados dirigen a las víctimas a sitios web engañosos alojados en infraestructuras confiables.

Para evadir las comprobaciones iniciales de reputación de dominio y los filtros web empresariales, los actores de amenazas están aprovechando servicios como Google Sites, Framer e incluso chats compartidos legítimos de claude.ai.

Las páginas de destino están cuidadosamente diseñadas para parecer portales oficiales de descarga de Claude AI.

Cuando los usuarios intentan interactuar con el sitio o descargar la supuesta aplicación de escritorio, se encuentran con un aviso de Clickfix.

Este aviso utiliza diálogos de advertencia engañosos para trucar a las víctimas y que ejecuten manualmente un comando de terminal malicioso o descarguen un instalador comprometido bajo la apariencia de "corregir" un error de visualización.

Los investigadores Berk Albayrak y g0njxa publicaron sus hallazgos en X rastreando la infraestructura detrás de la campaña de malware dirigida.


Los actores de amenazas rotan frecuentemente sus dominios y plataformas de alojamiento para evadir la detección mientras maximizan su optimización en motores de búsqueda.

La campaña se apoya fuertemente en Google Sites para alojar las páginas engañosas iniciales; los investigadores identificaron URLs maliciosas como sites[.]google[.]com/view/cloud-version-08, sites[.]google[.]com/view/brewshka-page, y sites[.]google[.]com/view/claud-version-0505.

Además de Google Sites, los atacantes han utilizado la plataforma Framer, alojando aplicaciones falsas en claude-desktop-app[.]framer[.]ai.

Entrega y Ejecución de la Carga Útil

Una vez que la víctima interactúa con el portal falso de Claude AI, el sitio la redirige a los servidores finales de entrega de la carga útil.

Se ha observado que las páginas de destino iniciales redirigen el tráfico a direcciones IP externas, como 2[.]26[.]75[.]112/Hokojol, y a dominios como pieoneer[.]org y greenactiv[.]com.

Estos servidores de destino depositan la carga útil de MacSync clickfix directamente en la máquina de la víctima. Tras su ejecución, el malware opera como un robador de información integral para macOS.

Está diseñado específicamente para recolectar información sensible del sistema Apple infectado, incluyendo credenciales guardadas en el navegador, datos de billeteras de criptomonedas y tokens de sesión activos.

Los datos robados son posteriormente exfiltrados hacia la infraestructura de comando y control de los atacantes.

Para defenderte de estas campañas engañosas de malvertising, las organizaciones y los usuarios individuales deben extremar la precaución al interactuar con resultados de búsqueda patrocinados.

Los equipos de seguridad deben bloquear los indicadores de compromiso conocidos a nivel de red y monitorear la telemetría de los puntos finales de macOS para detectar ejecuciones de scripts inusuales originadas en navegadores web.

Por favor, educa a los usuarios para que eviten hacer clic en anuncios patrocinados de descarga de software. Siempre deben navegar directamente a los sitios web oficiales del proveedor.