Se ha descubierto que tres campañas diferentes de ClickFix actúan como vector de distribución para el despliegue de un ladrón de información de macOS llamado Mac Sync .

«A diferencia de los ataques tradicionales basados en exploits, este método se basa completamente en la interacción del usuario (normalmente copiando y ejecutando comandos), lo que lo hace especialmente eficaz contra los usuarios que no se dan cuenta de las implicaciones de ejecutar comandos de terminal desconocidos y confusos», afirman los investigadores de Sophos Jagadeesh Chandraiah, Tonmoy Jitu, Dmitry Samosseiko y Matt Wixey, Jagadeesh Chandraiah, Tonmoy Jitu, Dmitry Samosseiko y Matt Wixey, investigadores de Sophos dijo .

Actualmente no se sabe si las campañas son obra del mismo actor de amenazas. Jamf Threat Labs también denunció el uso de señuelos de ClickFix para distribuir el malware en diciembre de 2025. Los detalles de las tres campañas son los siguientes:

  • Noviembre de 2025: una campaña que utilizaba el navegador OpenAI Atlas como cebo, publicado a través de resultados de búsqueda patrocinados en Google, para dirigir a los usuarios a una URL falsa de Google Sites con un botón de descarga que, al hacer clic, mostraba instrucciones para abrir la aplicación Terminal y pegar un comando en ella. Esta acción descargaba un script de shell que solicitaba al usuario que introdujera la contraseña del sistema y ejecutaba MacSync con permisos de usuario.
  • Diciembre de 2025: A campaña de publicidad maliciosa que aprovechaba los enlaces patrocinados vinculados a búsquedas de consultas como «cómo limpiar tu Mac» en Google para llevar a los usuarios a conversaciones compartidas en el sitio legítimo de OpenAI ChatGPT para dar la impresión de que los enlaces eran seguros. Las conversaciones de ChatGPT redirigían a las víctimas a páginas de inicio maliciosas con temática de GitHub que engañaban a los usuarios para que ejecutaran comandos maliciosos en la aplicación Terminal.
  • Febrero de 2026: una campaña dirigida a Bélgica, la India y partes de Norteamérica y Sudamérica en la que se distribuyó una nueva variante de MacSync entregada mediante señuelos ClickFix. La última versión admite cargas dinámicas de AppleScript y la ejecución en memoria para evadir el análisis estático, eludir las detecciones de comportamiento y complicar la respuesta a los incidentes.

El script de shell que se ejecuta tras ejecutar el comando Terminal está diseñado para contactar con un servidor codificado y recuperar la carga útil del ladrón de información de AppleScript y, al mismo tiempo, tomar medidas para eliminar las pruebas del robo de datos. El ladrón está equipado para recopilar una amplia gama de datos de servidores comprometidos, lo que incluye extraer credenciales, archivos, bases de datos de llaveros y frases iniciales de carteras de criptomonedas.

adsense

Los últimos hallazgos sugieren que los actores de amenazas están adaptando la fórmula para ir un paso por delante de las herramientas de seguridad, al tiempo que utilizan la confianza asociada a las conversaciones de ChatGPT para convencer a los usuarios de que ejecuten comandos maliciosos.

La nueva variante observada en la campaña más reciente «probablemente representa que el desarrollador del malware se está adaptando a las medidas de seguridad del sistema operativo y del software para mantener la eficacia», afirma Sophos. «Por lo tanto, las campañas de este tipo pueden seguir evolucionando en el futuro mediante el perfeccionamiento de las tácticas típicas de ingeniería social de ClickFix».

En los últimos meses, las campañas de ClickFix han utilizado plataformas legítimas como Cloudflare Pages (pages.dev), Squarespace y Tencent EdgeOne para alojar instrucciones falsas para instalar herramientas para desarrolladores como Claude Code de Anthropic. Las URL se distribuyen a través de anuncios maliciosos en los motores de búsqueda.

Las instrucciones, como antes, engañan a las víctimas para que instalar el malware infostealer como Amatera Stealer en vez de eso. El ataque de ingeniería social tiene un nombre en código Instalar Fix o Solución de Google . Según Nati Tal, directora de Guardio Labs, cadenas de infección similares conducen al despliegue de Alien infostealer en Windows y Atomic Stealer en macOS.

El comando de PowerShell que se ejecuta tras pegar y ejecutar el supuesto comando de instalación de Claude Code obtiene un paquete de extensiones de Chrome legítimo dentro de un archivo de aplicación HTML (HTA) malintencionado, que luego lanza un cargador de.NET ofuscado para Alien en memoria, según Tal.

«Si bien los ataques tradicionales de ClickFix necesitan inventar una razón para que el usuario ejecute un comando: un CAPTCHA falso, un mensaje de error inventado o un aviso de sistema falso, InstallFix no necesita nada de eso», afirma Push Security. «El pretexto es simplemente que el usuario quiere instalar un software legítimo».

Según Pillar Security, entre febrero y marzo de 2026 se han llevado a cabo al menos 20 campañas distintas de malware dirigidas a la inteligencia artificial (IA) y a las herramientas de codificación Vibe. Entre ellas se encuentran los editores de código, los agentes de inteligencia artificial, las plataformas de modelos lingüísticos extensos (LLM), las extensiones de navegador basadas en la inteligencia artificial, los generadores de vídeo basados en la IA y las herramientas empresariales basadas en la IA. Se ha descubierto que nueve de ellas están dirigidas tanto a Windows como a macOS, y otras siete afectan exclusivamente a los usuarios de macOS.

«La razón es clara: los usuarios de las herramientas de codificación AI/Vibe se inclinan mucho por macOS, y los usuarios de macOS tienden a tener credenciales de mayor valor (claves SSH, tokens en la nube, carteras de criptomonedas)», dijo Eilon Cohen, investigador de Pillar Security dijo .

«La técnica ClickFix/InstallFix (engañar a los usuarios para que peguen comandos en la Terminal) es especialmente eficaz contra los desarrolladores porque curl | sh es un patrón de instalación legítimo. Homebrew, Rust, nvm y muchas otras herramientas para desarrolladores utilizan este mismo patrón. Los comandos maliciosos se esconden a plena vista».

No hace falta decir que la ventaja que representa ClickFix (y sus variantes) ha llevado a que la táctica sea adoptada por múltiples actores y grupos de amenazas. Esto incluye un sistema de distribución de tráfico (TDS) malintencionado denominado Kong Tuke (también conocido como 404 TDS, Chaya_002, LandUpdate808 y TAG-124), que utiliza sitios web de WordPress comprometidos y señuelos CAPTCHA falsos para crear un troyano basado en Python llamado Modelo ORAT .

Los atacantes inyectan JavaScript malicioso en sitios web legítimos de WordPress que solicitan a los usuarios que ejecuten un comando de PowerShell responsable de iniciar un proceso de infección de varias etapas para implementar el troyano.

«El grupo sigue utilizando este método junto con el más nuevo CrashFix técnica, que engaña a los usuarios para que instalen una extensión de navegador maliciosa para iniciar una infección», afirma Trend Micro. «El malware comprueba específicamente si un sistema forma parte de un dominio corporativo e identifica las herramientas de seguridad instaladas antes de continuar, lo que sugiere centrarse en los entornos empresariales y no en las infecciones oportunistas».

Eso no es todo. Las campañas de KongTuke también han sido manchada utilizando registros DNS TXT en su script ClickFix. Estos registros TXT de DNS configuran un comando para recuperar y ejecutar un script de PowerShell.

A continuación se enumeran otros ataques de pastejacking al estilo de Clickfix que se han detectado en estado salvaje:

  • Uso sitios web comprometidos para mostrar señuelos para las páginas de ClickFix que imitan «¡Aw Snap!» de Google errores o actualizaciones del navegador para distribuir cuentagotas, descargadores y extensiones de navegador maliciosas.
  • Uso Señuelos ClickFix se sirve a través de enlaces de publicidad maliciosa o suplantación de identidad para dirigir a los usuarios a páginas maliciosas que conducen al despliegue de Remcos RAT.
  • Uso de un señuelo falso de verificación CAPTCHA en un sitio web falso que promocionaba una estafa de lanzamiento aéreo de $TEMU para provocar la ejecución de un comando de PowerShell que ejecuta código Python arbitrario recuperado de un servidor.
  • Uso de un publicidad falsa en sitios web CleanMyMac para engañar a los usuarios para que ejecuten un comando malicioso de Terminal para desplegar un ladrón de macOS llamado sHub Stealer y carteras de criptomonedas clandestinas como Exodus, Atomic Wallet, Ledger Wallet y Ledger Live para robar las frases iniciales.
  • Uso de un señuelo falso de verificación CAPTCHA en sitios web comprometidos para ejecutar un script de PowerShell que ofrece un dropper MSI, que luego instala el tiempo de ejecución de JavaScript de Deno para ejecutar código ofuscado que, en última instancia, instala Castle Rat en memoria mediante un cargador de Python llamado CastleLoader.

En un informe publicado la semana pasada, Rapid7 revelada que los sitios web de WordPress altamente confiables se ven comprometidos como parte de una campaña generalizada y continua diseñada para inyectar un implante ClickFix que se hace pasar por un desafío de verificación humana de Cloudflare. La actividad ha estado activa desde diciembre de 2025.

enlaces

Se han identificado más de 250 sitios web infectados en al menos 12 países, incluidos Australia, Brasil, Canadá, Chequia, Alemania, India, Israel, Singapur, Eslovaquia, Suiza, el Reino Unido y los EE. UU. Los sitios web se han identificado como medios de comunicación regionales y empresas locales.

El objetivo final de estos señuelos es comprometer los sistemas Windows con diferentes familias de malware robador: StealC Stealer , una versión mejorada de Vidar Stealer, un ladrón de.NET denominado Impure Stealer y un ladrón de C++ denominado VodkaStealer. Los datos robados pueden entonces servir de plataforma para el robo financiero o los ataques posteriores.

Actualmente se desconoce el método exacto por el cual se piratean los sitios de WordPress. Sin embargo, se sospecha que implica la explotación de fallas de seguridad descubiertas recientemente en los complementos y temas de WordPress, credenciales de administrador previamente robadas o interfaces de administración de WordPress de acceso público.

Para contrarrestar la amenaza, se recomienda a los administradores del sitio que mantengan sus sitios actualizados, utilicen contraseñas seguras para el acceso administrativo, configuren la autenticación de dos factores (2FA) y busquen cuentas de administrador sospechosas.

«La mejor defensa para las personas que navegan por la web es actuar con cautela, mantener una mentalidad de confianza cero, utilizar software de seguridad acreditado y mantenerse al día con las últimas tácticas de phishing y ClickFix utilizadas por actores malintencionados», afirma Rapid7. «Una conclusión importante de este informe debería ser que incluso los sitios web de confianza pueden verse comprometidos y convertirse en armas contra los visitantes desprevenidos».

¿Te ha parecido interesante este artículo? Síguenos en Noticias de Google , Twitter y LinkedIn para leer más contenido exclusivo que publicamos.