Claude Code, un asistente de IA, descubrió accidentalmente un minero de criptomonedas oculto en el Mac de un desarrollador mientras creaba una aplicación de monitoreo de temperatura. Tras detectar lecturas de sensores inusualmente altas, la IA investigó la actividad del procesador e identificó que el software XMRig estaba consumiendo aproximadamente un 1.175% de la CPU (equivalente a unos 12 núcleos).

Una tarea de programación ordinaria llevó a un descubrimiento de seguridad inesperado cuando, según se informa, Claude Code encontró un minero de criptomonedas oculto en el Mac de un desarrollador. El asistente de IA estaba creando una aplicación de monitoreo de temperatura cuando unas lecturas de sensor inusualmente altas le impulsaron a investigar la actividad de la CPU. Identificó que XMRig consumía aproximadamente el 1,175% de la CPU, lo que se describe como una carga de procesamiento de unos 12 núcleos.

El desarrollador, que publicó como u/UntilHEX en Reddit, dijo que Claude revisó los procesos en ejecución después de analizar los datos brutos del sensor. El descubrimiento ofreció una explicación al mal rendimiento del Mac. Sin embargo, la cuenta sigue siendo el informe de un usuario respaldado por una captura de pantalla, más que una investigación forense publicada.

El alto uso de la CPU expuso al minero oculto

Según la captura de pantalla compartida, Claude informó que la CPU había alcanzado un pico de 112°C. “Tu Mac está ejecutando un minero de criptomonedas que yo no puse ahí”, advirtió el asistente. Estas cifras reflejan la sesión reportada y no han sido verificadas independientemente a través de registros de hardware o un examen separado.

La captura de pantalla identificó /tmp/rigupdater como la ubicación de ejecución del minero y pool.hashvault.sh como su destino de grupo de minería. Estos detalles proporcionan pistas útiles para los investigadores que examinen este dispositivo específico. No establecen cómo llegó el software, quién lo instaló o si otros sistemas se vieron afectados.

XMRig no es intrínsecamente malicioso. Es un software de minería con versiones oficiales para macOS, incluido el soporte para Apple Silicon. La preocupación de seguridad es su aparente uso sin el conocimiento o consentimiento del propietario. Encontrar el programa por sí solo no probaría una infección sin examinar su instalación, configuración y actividad.

Se informa que un LaunchAgent mantuvo el minero en ejecución

Claude también señaló un archivo de lista de propiedades sospechoso dentro de ~/Library/LaunchAgents/. La captura de pantalla describía una entrada de inicio con un nombre aleatorio fechada el 29 de agosto que ejecutaba un gran script codificado a través de bash, con KeepAlive habilitado. Claude dijo que la entrada ya estaba presente antes de que comenzara su trabajo de desarrollo.

La documentación de LaunchAgent de Apple explica que los agentes de usuario se ejecutan dentro de la sesión de un usuario conectado. El ajuste KeepAlive puede indicar a launchd que mantenga un trabajo en ejecución. Eso hace que la entrada de inicio sea importante, porque detener un proceso sin desactivar su lanzador puede permitir que regrese. Los LaunchAgents en sí mismos son funciones legítimas de macOS, no una prueba automática de malware.

La captura de pantalla también planteó inquietudes sobre las credenciales disponibles en el Mac, incluido su inicio de sesión de GitHub. Esa advertencia describe una posible exposición, no un robo confirmado. La evidencia pública no muestra que se hayan robado contraseñas, tokens de acceso, código fuente u otros archivos. La ruta de infección y el alcance total siguen siendo desconocidos.

Claude dijo inicialmente que no había eliminado ni detenido nada. En su lugar, solicitó permiso para detener el elemento de inicio y el minero, y luego mover los archivos a cuarentena. UntilHEX dijo más tarde que el asistente realizó la limpieza, aunque un archivo requirió eliminación manual debido a un problema de acceso.

El comportamiento se asemeja a técnicas vistas en otras amenazas para Mac, sin que se pruebe una conexión. Anteriormente se cubrieron ataques de CAPTCHA falsos que instalan una puerta trasera y XMRig. Esa campaña utilizó un LaunchAgent y podría combinar la minería con el robo de contraseñas, lo que demuestra por qué eliminar solo un minero puede dejar riesgos pendientes.

Informes separados sobre el abuso de la marca de informes de errores de Apple por parte de CrashStealer también documentaron la persistencia mediante LaunchAgent. Ninguna de las campañas ha sido vinculada al Mac de UntilHEX. Su relevancia es el uso compartido de funciones confiables del sistema operativo para mantener software no deseado en ejecución.

Para los usuarios afectados, la lección práctica es investigar el calor inexplicable y la carga sostenida de la CPU, revisar la persistencia y comprobar la exposición de las cuentas. Una sospecha de compromiso justifica el aislamiento y el cambio de contraseñas desde un dispositivo limpio. El descubrimiento de Claude fue útil, pero la limpieza reportada no establece que se haya eliminado cada amenaza.