Usuarios de Mac que buscan ayuda para instalar Claude han caído en una trampa peligrosa. Una campaña maliciosa utilizó anuncios pagados y una guía falsa en una página legítima para engañar a las víctimas y lograr que ejecutaran un comando en la Terminal. Esta acción activa el malware de robo de información MacSync, diseñado para robar contraseñas y monederos de criptomonedas.

Los usuarios de Mac que buscan ayuda para instalar Claude han sido conducidos a una trampa peligrosa.

Una campaña maliciosa utilizó un resultado de búsqueda pagado y una guía falsa en una página de contenido compartido de Claude legítima para persuadir a las víctimas de que pegaran un comando en la Terminal. Esa acción inició el malware de robo de información MacSync.

La campaña muestra cómo las búsquedas de software pueden convertirse en un punto de entrada para el robo de cuentas. En lugar de explotar un fallo, los operadores confiaron en la fe que se tiene en un dominio familiar, una guía convincente y un comando que parecía un paso de instalación.

El resultado pueden ser sesiones de navegador robadas, contraseñas, claves en la nube y datos de carteras de criptomonedas. Los analistas de Huntress identificaron el malware tras investigar una intrusión en macOS a mediados de julio.

Huntress dijo en un informe que MacSync combina el robo de credenciales, el acceso remoto, la captura de pantalla y el phishing centrado en carteras en una cadena de seis etapas.

El caso recuerda a campañas publicitarias falsas de Google, donde los resultados patrocinados convierten las búsquedas en la entrega de malware.

MacSync recopila inicios de sesión guardados, cookies, datos del llavero (keychain), sesiones de Telegram, credenciales SSH y de la nube, y luego se dirige a las extensiones de carteras y aplicaciones de carteras de escritorio.

También puede obtener acceso continuo después del robo inicial, poniendo en riesgo tanto las cuentas personales como los recursos empresariales. Una frase de recuperación robada puede dar a los criminales el control duradero de los activos digitales.

MacSync macOS Stealer utiliza una guía falsa de Claude

La víctima buscó en Google instrucciones para instalar Claude en un Mac e hizo clic en un resultado patrocinado en lugar del enlace genuino.

El anuncio llevó a una conversación pública de Claude diseñada como una guía de Soporte de Apple. Instruía al usuario a abrir la Terminal y ejecutar un comando curl oscurecido en Base64, un enfoque también visto en ataques de anuncios de artefactos de Claude.

Ese comando descargó un cargador, que luego recuperó el resto de la operación. El cargador llamó a un AppleScript remoto directamente en la memoria, reduciendo las evidencias en el dispositivo.

También intentó hacer que la víctima concediera a la Terminal el Acceso Completo al Disco, abriendo áreas protegidas que contienen datos del sistema y del navegador.

Una vez concedido el acceso, el AppleScript mostró un aviso de sistema falso y solicitó repetidamente la contraseña de la cuenta de macOS hasta que fue validada.

Recopiló cookies del navegador e inicios de sesión guardados, secretos del llavero, archivos de desarrollador y de la nube, y datos de sesión de Telegram. El malware empaquetó la información para su carga antes de eliminar los archivos temporales.

MacSync va más allá de una captura de datos puntual. Instala una herramienta de acceso remoto persistente que puede ejecutar comandos, transferir archivos y capturar la pantalla tras obtener el permiso.

Esto refleja las puertas traseras entregadas mediante anuncios maliciosos, que pueden convertir una descarga engañosa en un acceso prolongado al sistema.

El robo de carteras eleva las apuestas

Los operadores dieron a MacSync un fuerte enfoque en el robo de criptomonedas. El stealer busca datos vinculados a aproximadamente 60 extensiones de carteras de navegador y 21 aplicaciones de carteras de escritorio.

Si encuentra ciertas aplicaciones complementarias de carteras de hardware, puede reemplazar sus contenidos con versiones troyanizadas que parecen normales al abrirse.

Esas aplicaciones alteradas muestran un proceso de recuperación falso diseñado para recolectar la frase semilla (seed phrase) de la cartera.

La frase es enviada a servidores controlados por el atacante, mientras que el programa devuelve a la víctima a la aplicación genuina, independientemente de si la transferencia tiene éxito o falla. Esto puede crear una pérdida irreversible porque las frases de recuperación controlan la cartera misma.

Debes descargar software únicamente desde las páginas oficiales del proveedor y tratar los resultados patrocinados, las conversaciones de IA compartidas y las publicaciones de soporte como no verificados hasta que los compruebes.

Nunca debes pegar comandos en la Terminal porque una página web te lo pida. Cualquier solicitud inesperada de Acceso Completo al Disco durante la configuración merece un escrutinio cercano, como se señaló en los robos de carteras de macOS ClickFix.

Los equipos de seguridad deben priorizar el comportamiento, no solo los hashes de archivos, ya que los cargadores de MacSync cambian con cada compilación.

Señales útiles incluyen URLs decodificadas de Base64 enviadas a zsh, la Terminal lanzando AppleScript desde una solicitud curl, LaunchAgents desconocidos, aplicaciones de carteras firmadas nuevamente y captura de pantalla no perteneciente a Apple.

Las organizaciones deben aislar los dispositivos sospechosos, rotar las contraseñas y tokens expuestos, y mover los activos de la cartera a una nueva frase de recuperación desde un dispositivo confiable si se sospecha que se ha introducido una.

Fuentes:
https://cybersecuritynews.com/macsync-uses-fake-claude-guide/