Se ha detectado un malware basado en Go que afecta a usuarios de macOS a través de ataques "ClickFix", robando contraseñas, datos de Apple Keychain y criptomonedas. El software puede vaciar billeteras digitales o desviar porcentajes específicos de las transacciones hacia el atacante. La infraestructura utilizada estaría vinculada a una corporación rusa sancionada por brindar servicios de hosting a grupos de ransomware.





Un malware basado en Go distribuido a través de ataques de ClickFix dirigidos a usuarios de macOS está robando activos de criptomonedas, contraseñas almacenadas en el navegador, datos del Apple Keychain y credenciales almacenadas en caché.

El malware puede interceptar y redirigir transacciones de varias criptomonedas. Aunque puede vaciar las carteras por completo, también puede calcular el valor total de una transacción para determinar cuánto desviar al atacante.

Investigadores de seguridad de la empresa de servicios de Detección y Respuesta Gestionada (MDR) Huntress descubrieron la carga útil tras responder a un incidente de ClickFix.


El usuario objetivo recibió un correo electrónico con un enlace a una página que le indicaba ejecutar un comando en la Terminal.

Esto descargó un script de Bash que actuaba como perfilador y cargador de malware, el cual recopilaba información del sistema (por ejemplo, CPU, RAM) y recuperaba una carga útil Mach-O que coincidía con la arquitectura del procesador del sistema de la víctima.

El perfilador también identificó el nombre de la cuenta del usuario actualmente conectado y creó un directorio llamado trustd, el proceso de macOS responsable de validar los certificados criptográficos y las firmas de código.

Copió la carga útil de robo de información y vaciado de criptomonedas en el directorio como com.apple.verified y eliminó el atributo extendido com.apple.quarantine para evitar que Gatekeeper tratara el archivo como cuarentenado y mostrara una alerta de seguridad al ejecutarlo.

Según el análisis de Huntress, el malware establece persistencia y aumenta los privilegios recopilando credenciales del sistema a través de un error falso creado mediante la utilidad osascript.

Cuadro de diálogo falso solicitando la contraseña de administrador
fuente: Huntress

La carga útil del robador busca en el almacenamiento archivos que contengan credenciales, identificados tanto por su nombre como por su extensión.

“Las bases de datos de contraseñas del navegador, el Apple Keychain y las credenciales almacenadas en las cookies del navegador son todos objetivos”, afirma Huntress [https://www.huntress.com/blog/mac-crypto-draining-malware].

Sin embargo, el malware basado en Go también incluye código que modifica las transacciones de criptomonedas antes de que sean firmadas, y puede configurarse para redirigir al atacante solo un porcentaje de los fondos.

El malware puede configurarse para vaciar una cierta cantidad de criptomonedas
fuente: Huntress

Huntress afirma que es la primera vez que analizan un vaciador de criptomonedas que no vacía las carteras de las víctimas, sino que puede retirar menos del monto total.

Además, los investigadores observaron funciones independientes que determinaban el valor del 1% del contenido de la cartera, dependiendo del tipo de criptomoneda.

Entre los activos de criptomonedas objetivo se encuentran Bitcoin, Litecoin, Dogecoin, Monero, Ethereum y XRP de Ripple.

Según Huntress, el malware se comunica con direcciones IP compartidas en el Sistema Autónomo (AS) 210644, que está “operado por una corporación rusa conocida como Aeza Group”.

La empresa y las personas afiliadas a ella han sido sancionadas [https://www.state.gov/releases/office-of-the-spokesperson/2025/11/united-states-australia-and-united-kingdom-jointly-sanction-ransomware-infrastructure-providers] por los EE. UU. y el Reino Unido por proporcionar servicios de alojamiento "bulletproof" a grupos de ransomware.

Fuente:
BleepingComputer