Una familia de malware para macOS llamada Phexia se está propagando mediante páginas web falsas que engañan a los usuarios para que peguen un comando en la Terminal. Esta técnica, conocida como ClickFix, permite que el malware se instale silenciosamente para robar contraseñas de inicio de sesión, datos del navegador, archivos del llavero y extensiones de gestores de contraseñas.

Una familia de malware para macOS llamada Phexia se está propagando a través de páginas web falsas que convencen a los usuarios de Mac para que peguen un comando en la Terminal.

Una vez que el comando se ejecuta, el malware se instala silenciosamente en el Mac, roba la contraseña de inicio de sesión y copia datos del navegador, archivos del llavero (keychain) y datos de extensiones de gestores de contraseñas.

Este truco es conocido como ClickFix. Una página muestra una verificación o solución falsa, y el usuario realiza el paso peligroso por sí mismo. No se necesita ningún fallo de software, por lo que las protecciones habituales tienen poco que detectar.

Phexia se vende a varios grupos criminales, razón por la cual siguen apareciendo más infecciones. Analistas de WithSecure identificaron y detallaron el malware en un informe publicado el 4 de noviembre de 2026.

Afirman que Phexia es una puerta trasera modular y un robador de información que se ha estado utilizando al menos desde finales de 2025. La firma ha visto un número creciente de infecciones desde principios de 2026, lo que sugiere que más criminales lo están comprando.

Engañan a usuarios de Mac para que ejecuten comandos de Terminal

En casi todos los casos que WithSecure pudo examinar, la infección comenzó con un comando escrito en la Terminal. El comando utilizaba curl para descargar un script de shell y enviarlo directamente a bash.

El script solía llamarse update.sh, aunque también aparecieron script.sh, clear-cache.sh y Terminal.sh. Estaba alojado en subdominios de apariencia aleatoria que cambiaban entre oleadas.

El equipo vinculó una infección del 6 de julio a un dominio de "typosquatting" (suplantación por error tipográfico), lo que indica que las direcciones web similares son una ruta de entrega probable. El mismo truco ha aparecido en una campaña de CAPTCHA falso para Mac que también terminó en el robo de contraseñas y minería de criptomonedas.

Luego, el script ejecuta un "dropper" de AppleScript. El dropper escribe un LaunchAgent en la carpeta Library del usuario y lo configura para que se reinicie cada vez que se detenga.

El cargador se almacena como texto Base64 dentro de ese archivo, por lo que no hay ningún script legible en el disco. Las versiones de junio a mediados de septiembre utilizaban una etiqueta de "com." más 16 letras minúsculas. Las versiones de octubre cambiaron a "com.Apple." más 16 letras, para parecer un elemento real de Apple.

La "A" mayúscula lo delata, ya que las etiquetas genuinas de Apple usan minúsculas. Después de la configuración, la puerta trasera se conecta con su servidor y solicita más módulos.

Una herramienta llamada dscl comprueba si la contraseña de inicio de sesión introducida es correcta, y un aviso falso de "Preferencias del Sistema" puede seguir preguntando hasta que se escriba la correcta.

La contraseña se guarda en un archivo oculto llamado .passphrase. WithSecure vio que esto ocurría desde menos de un minuto hasta unos ocho minutos después de la infección. Algunas comprobaciones comenzaron 22 horas después y se repitieron en los días siguientes.

Con la contraseña en mano, el robador copia los datos que desea. Lee las claves de "Safe Storage" del navegador para Chrome, Edge, Brave, Opera y Vivaldi, y copia cookies, historial y archivos de inicio de sesión guardados.

También toma los almacenamientos de extensiones de LastPass y NordPass, el llavero de inicio de sesión y las cookies de Safari. Todo se comprime en un archivo zip y se sube al servidor de comandos y a un segundo servidor en 62.60.226[.]50 a través de HTTP simple.

Los operadores también instalan el minero de Monero XMRig. Lo reinstalan continuamente y cambian los grupos de minería y las billeteras. Trucos similares de captura de contraseñas aparecieron en el robador de información MacSync para macOS, por lo que el método es claramente popular entre los vendedores de malware para Mac.

La blockchain de Polygon oculta el servidor de comandos

El cambio más importante ocurrió en mayo de 2026. Phexia comenzó a leer la dirección de su servidor desde un contrato inteligente en la blockchain de Polygon, un método llamado EtherHiding.

El cargador no tiene un nombre de servidor fijo. Solicita a los endpoints públicos de Polygon la dirección actual y luego pide su siguiente módulo a ese host.

El operador puede cambiar por un servidor nuevo enviando una sola transacción de blockchain. Por lo tanto, bloquear un dominio no elimina el puntero, y el malware simplemente busca la siguiente dirección.

WithSecure vio un contrato utilizado del 14 de junio al 22 de octubre. Un contrato diferente apareció el 27 de octubre y resolvía a dhsbdgs[.]icu.

Las infecciones antiguas no se movieron a los nuevos servidores de inmediato. Las máquinas siguieron contactando con un dominio más antiguo durante aproximadamente un mes después de que el contrato cambiara.

Cuando un Mac se infectaba de nuevo, dos versiones se ejecutaban en paralelo, y la anterior seguía recibiendo tareas durante más de 20 minutos. Por lo tanto, tú deberías mantener los indicadores antiguos en tus búsquedas y comprobar si hay varios LaunchAgents en un mismo Mac.

Los hashes de archivos ayudan poco aquí, porque el malware utiliza herramientas integradas de Apple y cada versión está ofuscada de manera diferente. WithSecure recomienda vigilar el comportamiento en su lugar.

Busca sesiones de Terminal que descarguen scripts y luego lancen osascript, LaunchAgents que decodifiquen Base64 en osascript, consultas a Polygon desde procesos de scripts y comprobaciones de contraseña mediante dscl.

Si tú eres un usuario afectado, deberías aislar el Mac, eliminar cada LaunchAgent malicioso, restablecer las contraseñas desde un dispositivo limpio, revocar las sesiones y revisar la exposición de tu gestor de contraseñas y billeteras.

El abuso más reciente de ClickFix mediante el Editor de Scripts muestra lo rápido que los atacantes cambian el punto de entrada, y la campaña de Atomic Stealer ClickFix muestra el mismo truco social. Tú nunca debes pegar comandos de un sitio web en la Terminal.

Fuentes:
https://cybersecuritynews.com/hackers-trick-mac-users/