Una nueva campaña del infostealer AMOS está explotando anuncios de búsqueda en Google para redirigir a los usuarios hacia supuestas guías “útiles” alojadas en conversaciones públicas de Grok y ChatGPT. Aunque parecen ofrecer soluciones legítimas para macOS, estas instrucciones llevan al usuario a ejecutar comandos que terminan instalando el malware AMOS en su dispositivo.
La actividad fue identificada inicialmente por investigadores de Kaspersky, y posteriormente ampliada en un análisis técnico publicado por el equipo de seguridad gestionada de Huntress.
Este método, conocido como ClickFix, se activa cuando la potencial víctima busca términos comunes relacionados con macOS, como preguntas de mantenimiento, resolución de problemas o consultas sobre Atlas, el navegador con IA de OpenAI para macOS. A partir de ahí, los atacantes aprovechan la confianza del usuario en plataformas de IA y en los resultados patrocinados de Google para guiarlo hacia la descarga del malware.
En TecnetOne estamos al tanto de estas nuevas campañas de malware para ofrecerte recomendaciones actualizadas, mejores prácticas y asesoría experta en ciberseguridad, ayudándote a mantener tus dispositivos y datos siempre protegidos.
Cómo los anuncios de Google y las conversaciones en IA se usan para distribuir malware
El anuncio malicioso en Google dirige a los usuarios directamente hacia conversaciones públicas de ChatGPT y Grok, preparadas estratégicamente para ejecutar el ataque. Aunque están alojadas en plataformas legítimas de modelos de lenguaje, estas conversaciones incluyen instrucciones manipuladas que guían al usuario a instalar, sin saberlo, el malware en su dispositivo.
Conversaciones maliciosas de ChatGPT y Grok
Durante el análisis, los investigadores lograron reproducir estos resultados manipulados utilizando múltiples variaciones de búsquedas comunes como “cómo borrar datos en iMac”, “borrar datos del sistema en iMac” o “liberar almacenamiento en Mac”. Esto confirma que no se trata de un caso aislado, sino de una campaña de envenenamiento generalizada dirigida a consultas habituales de mantenimiento y solución de problemas en macOS.
Cuando un usuario cae en la trampa y ejecuta los comandos sugeridos por la conversación de IA dentro de la Terminal de macOS, una URL codificada en Base64 se decodifica y despliega un script bash malicioso. Este script muestra un cuadro de diálogo falso para solicitar la contraseña del sistema, permitiendo que el atacante obtenga acceso y continúe con la instalación del malware.
Script Bash (Fuente: Huntress)
Una vez que el usuario introduce su contraseña, el script la verifica y la almacena para ejecutar acciones con privilegios elevados. Esto permite al atacante descargar el infostealer AMOS y ejecutarlo con permisos de nivel root, otorgando control total sobre el sistema comprometido.
Conoce más sobre: Cómo los Infostealers están Impactando a México en 2024
AMOS: Evolución del infostealer para macOS
AMOS fue identificado por primera vez en abril de 2023 como una operación de malware-as-a-service (MaaS) orientada exclusivamente a sistemas macOS. Este modelo permite a los atacantes suscribirse al infostealer por una tarifa mensual cercana a los 1,000 dólares, obteniendo acceso a un conjunto de herramientas avanzadas para el robo de información.
Con el paso del tiempo, AMOS ha evolucionado. A comienzos de este año incorporó un módulo de puerta trasera, lo que habilita a los operadores a ejecutar comandos de manera remota en los equipos comprometidos, registrar pulsaciones de teclas y desplegar cargas maliciosas adicionales según sus objetivos.
Una vez instalado, AMOS se oculta en la ruta /Users/$USER/ como un archivo invisible (denominado .helper). Desde allí, ejecuta un análisis del sistema, prestando especial atención a aplicaciones como Ledger Wallet y Trezor Suite.
Si detecta estas herramientas, las reemplaza por versiones troyanizadas diseñadas para engañar a la víctima y solicitar su seed phrase o frase de recuperación con el pretexto de una supuesta “verificación de seguridad”.
Reemplazo de aplicaciones de billeteras criptográficas con versiones troyanizadas
AMOS amplía su alcance más allá de aplicaciones específicas y apunta también a billeteras de criptomonedas como Electrum, Exodus, MetaMask, Ledger Live, Coinbase Wallet y otras soluciones similares. Además, extrae información sensible del navegador, incluyendo cookies, contraseñas almacenadas, datos de autocompletar y tokens de sesión.
El malware también intenta obtener credenciales del macOS Keychain, como contraseñas de aplicaciones y redes Wi-Fi, junto con archivos locales que puedan contener información valiosa para los atacantes.
Para garantizar su permanencia en el sistema, AMOS utiliza un LaunchDaemon (com.finder.helper.plist) que ejecuta un AppleScript oculto funcionando como un mecanismo de vigilancia. Este proceso reinicia el malware automáticamente en cuestión de un segundo si se intenta finalizarlo, asegurando así su persistencia.
Conclusión
Los recientes ataques basados en la técnica ClickFix evidencian cómo los actores de amenazas continúan experimentando con nuevas estrategias para aprovechar plataformas legítimas y ampliamente usadas, incluidas tecnologías de IA generativa como las de OpenAI y X.
De hecho, un detalle revelador observado durante las pruebas es que, al pedir a ChatGPT una validación sobre la seguridad de dichas instrucciones manipuladas, el propio modelo advierte que no son seguras de ejecutar, lo que demuestra la importancia de confirmar siempre la legitimidad de este tipo de indicaciones.
En TecnetOne recomendamos extremar la precaución ante esta nueva campaña de malware para macOS: evita ejecutar comandos encontrados en línea o generados por IA sin comprender su función, verifica siempre la legitimidad de enlaces y anuncios antes de hacer clic, mantén tu sistema operativo y aplicaciones actualizados, utiliza soluciones de seguridad confiables que detecten infostealers como AMOS y nunca proporciones información sensible como tu seed phrase.
Ante cualquier duda, consulta siempre con un especialista en ciberseguridad para evitar comprometer tu dispositivo.