Ciberseguridad

El pasado 5 de diciembre, la empresa de seguridad Huntress destapó una campaña que marca un antes y un después en la forma de distribuir malware. Los atacantes están aprovechando conversaciones públicas de ChatGPT y Grok —dos plataformas de IA ampliamente utilizadas— para engañar a los usuarios y hacerles ejecutar comandos que instalan el conocido como el malware Atomic macOS Stealer (AMOS). Lo más inquietante es que no necesitan archivos maliciosos, instaladores falsos ni alertas de seguridad. Solo un resultado en Google, un clic y un “copiar y pegar” en el Terminal.

La clave está en cómo los atacantes manipulan los resultados de búsqueda. Cuando alguien busca algo tan cotidiano como “cómo liberar espacio en macOS” o “cómo limpiar datos del iMac”, Google puede mostrar en los primeros puestos enlaces reales a conversaciones alojadas en ChatGPT o Grok. Las páginas parecen totalmente legítimas: tienen formato profesional, pasos enumerados y un tono tranquilizador, como cualquier guía de soporte técnico.

El usuario, confiado por la reputación de la plataforma, ejecuta el comando que aparece en la conversación… y en ese momento empieza la infección.

La ingeniería social entra en una nueva fase

Estamos ante un salto cualitativo en la forma de engañar a los usuarios. Antes, los delincuentes intentaban imitar sitios legítimos. Ahora, directamente usan plataformas legítimas y confían en que los usuarios asumirán que lo que ven es seguro.

Y funciona. Porque ¿quién sospecharía de un enlace de ChatGPT o de Grok, dos plataformas oficiales y ampliamente conocidas? La manipulación de resultados de búsqueda convierte a estas conversaciones en herramientas perfectas para crear una falsa sensación de seguridad.

Huntress comprobó que las páginas manipuladas aparecían de forma consistente con múltiples variantes de consultas. Esto demuestra que no se trata de un caso aislado, sino de una campaña bien planificada para aprovechar búsquedas muy comunes relacionadas con mantenimiento de macOS.

Un comando, una contraseña… y el sistema queda expuesto

El comando que aparece en estas guías falsas no muestra nada sospechoso. Es un simple fragmento de código que, supuestamente, ayuda a limpiar espacio o resolver un problema. Pero cuando el usuario lo pega en el Terminal, se inicia una cadena de infección que pasa desapercibida:

1. El comando ejecuta un script que pide la contraseña del usuario.

2. En lugar de mostrar la ventana de autenticación habitual de macOS, la validación ocurre en segundo plano usando dscl-authonly, sin notificaciones ni avisos.

3. Si la contraseña es correcta, se guarda en texto plano y se utiliza de inmediato para obtener acceso administrativo mediante sudo.

4. A partir de ahí, el atacante tiene el control total.

Con ese acceso elevado, el malware instala el componente principal de AMOS en una carpeta oculta dentro del directorio del usuario (.helper). Luego, el stealer busca aplicaciones de monederos de criptomonedas —como Ledger Wallet o Trezor Suite— y las sustituye por versiones adulteradas que piden nuevamente las frases semilla. Si el usuario cae en la trampa, esas claves van directamente a manos del atacante.

AMOS se ejecuta sin descanso

Además de robar datos de criptomonedas, AMOS extrae contraseñas guardadas en navegadores, entradas del llavero de macOS y archivos sensibles almacenados en el sistema. Todo ello mientras se mantiene activo mediante un mecanismo de persistencia difícil de detectar: un LaunchDaemon que ejecuta un script oculto encargado de “vigilar” al malware.

Este watchdog comprueba cada segundo si el ejecutable principal sigue funcionando. Si se detiene por cualquier motivo, lo relanza automáticamente. Ni reiniciar el Mac ni cerrar procesos manualmente es suficiente para desactivarlo.

Un desafío enorme para la defensa

Lo más preocupante de este ataque es que, desde el punto de vista técnico, el comportamiento inicial no se diferencia de una tarea legítima. El sistema solo ve a un usuario pegando un comando en el Terminal, algo habitual para administrar macOS. No hay binarios extraños, no hay alertas, no hay descargas dudosas.

Esto obliga a cambiar la mentalidad de defensa. Las empresas deben empezar a buscar señales de comportamiento anómalo, como: uso inesperado de dscl-authonly, scripts ocultos en directorios del usuario,  actividad persistente de LaunchDaemons que no deberían existir y procesos ejecutados con sudo mediante contraseñas canalizadas por la línea de comandos.

Para los usuarios, la situación también es difícil. El ataque no utiliza técnicas extremas ni juega con el miedo. Todo lo contrario: se apoya en la confianza. Copiar un comando de una plataforma reconocida como ChatGPT o Grok parece algo inofensivo. La gente lo hace a diario para solucionar problemas.