El malware Atomic Stealer está siendo distribuido a usuarios de Mac a través de sitios web aparentemente inofensivos. Mediante una operación denominada ClickFix, que utiliza más de 250 dominios fraudulentos, se engaña a los visitantes para que accedan a páginas de descarga falsas y ejecuten comandos maliciosos en la Terminal. Este ataque no aprovecha fallos de software, sino que se basa en la persuasión, simulando ser comprobaciones de descarga, actualizaciones o verificaciones de tipo CAPTCHA.

Atomic Stealer se está distribuyendo a los usuarios de Mac a través de sitios web que parecen inofensivos. Una gran operación de ClickFix utiliza más de 250 dominios similares para dirigir a visitantes seleccionados hacia una página de descarga falsa y un comando malicioso de Terminal.

ClickFix se basa en la persuasión, no en un fallo de software. Las páginas se hacen pasar por comprobaciones de descarga, actualizaciones o verificaciones estilo CAPTCHA, y luego instan a las personas a pegar un comando en la Terminal para iniciar el ataque.

Analistas de Microsoft identificaron este cambio. Descubrieron que la infraestructura pasó de mostrar abiertamente instrucciones maliciosas a analizar a cada visitante antes de decidir si revelarlas. Esto hace que el escaneo rutinario sea menos fiable.

Microsoft afirmó en un informe  que un dominio que parece benigno para un investigador puede seguir sirviendo un señuelo personalizado a un navegador de macOS real, permitiendo que Atomic Stealer, también llamado AMOS, recopile datos personales y empresariales.

Más de 250 dominios de ClickFix para macOS

La operación se estructura en torno a un amplio conjunto de sitios web nombrados algorítmicamente. Muchos utilizan la palabra “file” (archivo) con términos ordinarios del diccionario, dando a las víctimas nombres que pueden parecer servicios de almacenamiento en la nube, descarga o sincronización.

Microsoft confirmó más de 250 dominios front-end de ClickFix durante su ventana de seguimiento. Varios siguen formas como filecopperbasket, filevelvettractor y fileoceanhammer, mientras que otros colocan “file” de manera diferente o lo omiten.

Un visitante cualificado ve una página falsa de “Descarga para macOS” diseñada con la imagen de marca de GitHub.

La marca está suplantada y no indica un compromiso de GitHub, pero está diseñada para que la solicitud de ejecutar un comando copiado parezca segura.

Una vez ejecutado, el comando de una sola línea recupera un script remoto a través de una dirección /curl/<id>.

Scripts adicionales descargan e inician AMOS, que puede extraer credenciales del navegador, contraseñas guardadas, datos de carteras de criptomonedas, material de autenticación y archivos sensibles antes de enviarlos fuera.

La táctica refleja la tendencia general de los ataques ClickFix en macOS, donde los criminales confían en la acción del usuario en lugar de un instalador convencional. También demuestra por qué cualquier página que te pida pegar texto en la Terminal debe ser tratada como sospechosa, independientemente de lo convincente que parezca el sitio.

La puerta de huella digital bloquea el análisis de seguridad

La nueva puerta de enlace recopila detalles del navegador, pantalla, ventana, documento, ubicación y consola antes de devolverlos discretamente al servidor.

Comprueba la plataforma declarada, la configuración del navegador, las medidas de la pantalla, el idioma y otros signos de una sesión normal de escritorio Mac.

También examina la información gráfica a través de WebGL, una función del navegador normalmente utilizada para el renderizado visual.

La zona horaria, la capacidad táctil, el estado del marco embebido y el comportamiento de la consola de desarrollador pueden ayudar al servidor a detectar máquinas virtuales, herramientas automatizadas o entornos de investigación.

Los visitantes que fallen la prueba pueden recibir una página en blanco, un sitio que parezca aparcado o un señuelo inofensivo, como una extensión de navegador o una página de aterrizaje de VPN.

Aquellos con un perfil de navegador macOS convincente reciben las instrucciones de descarga envenenadas, una división que complica la detección automatizada y refleja campañas anteriores de CAPTCHA falsos.

Los defensores deben buscar comportamientos combinados en lugar de depender de un solo patrón de dominio. Las señales útiles incluyen formularios de huella digital de auto-envío, campos de datos ocultos, el parámetro mode: “php” y el patrón de nomenclatura con la palabra “file”.

Las organizaciones deben recordar a su personal que las descargas y páginas de verificación genuinas no requieren comandos de Terminal.

Los equipos de seguridad deben vigilar las sesiones de Terminal que ejecuten rápidamente curl, base64, gunzip u osascript después de navegar por la web, e investigar secuencias inusuales que eliminen atributos de cuarentena o hagan que los archivos sean ejecutables.

El monitoreo de red debe centrarse en descargas codificadas o comprimidas desde sitios nuevos o de baja reputación, especialmente rutas /curl/<hex-id>, así como el acceso a llaveros, almacenes de credenciales del navegador, claves SSH y datos de carteras.

Los defensores también pueden extraer contexto de la entrega de malware basada en Terminal y los cambios en la entrega de Atomic Stealer al crear detecciones.

En versiones más recientes de macOS, una advertencia puede bloquear el pegado de un comando potencialmente malicioso en la Terminal.

Esa salvaguarda puede interrumpir esta cadena, pero las decisiones cuidadosas del usuario y el monitoreo basado en el comportamiento siguen siendo importantes porque los atacantes ya están adaptando la forma en que piden a las víctimas que ejecuten código.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dominio	applefilevault[.]com	Página Web ClickFix
Dominio	apricotfilepoint[.]com	Página Web ClickFix
Dominio	bananafastfile[.]com	Página Web ClickFix
Dominio	cloudfilebridge[.]com	Página Web ClickFix
Dominio	filecedarwallet[.]online.	Página Web ClickFix
Dominio	filecopperbasket[.]sbs	Página Web ClickFix
Dominio	filecrimsonsignal[.]online	Página Web ClickFix
Dominio	filemarblegarden[.]sbs	Página Web ClickFix
Dominio	fileoceanhammer[.]sbs	Página Web ClickFix
Dominio	filerubyfolder[.]sbs	Página Web ClickFix
Dominio	filevelvettractor[.]sbs	Página Web ClickFix
Dominio	lemonfilewave[.]com	Página Web ClickFix
Dominio	limefilescope[.]com	Página Web ClickFix
Dominio	mangocloudfile[.]com	Página Web ClickFix
Dominio	orangesmartfile[.]com	Página Web ClickFix
Dominio	syncdatavault[.]com	Página Web ClickFix
Dominio	cloudsendhub[.]com	Página Web ClickFix

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de enlaces. Solo debes reactivarlos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/158536-2250-macos-clickfix-domains/