Investigadores de la firma de seguridad Huntress han alertado sobre la existencia de un nuevo y sofisticado ataque a macOS que se sirve de herramientas de inteligencia artificial generativa ampliamente usadas (como ChatGPT o Grok) para distribuir Atomic macOS Stealer (AMOS).
La campaña se ha detectado este mismo mes de diciembre y lo que hace es usar una optimización maliciosa de los motores de búsqueda para garantizar que las conversaciones generadas por IA ‘envenenadas’ aparezcan entre los primeros resultados de Google.
Estas se alojan en los dominios legítimos, como chatgpt.com y grok.com, haciéndolas indistinguibles de los verdaderos chats con estos asistentes.
Los diálogos suelen referirse a consultas relativas a cómo liberar espacio en disco en macOS o liberar almacenamiento en iMac. El resultado se muestra como una guía formateada con pasos numerados, bloques de comandos resaltados y un lenguaje tranquilizador.
Así pudre el gusano la manzana
El truco es que esas instrucciones contienen comandos que el usuario debe copiar y pegar en la Terminal. No parecen peligrosos porque suelen estar codificados (por ejemplo, en Base64) y disfrazados como si fueran parte de un procedimiento normal.
Cuando el usuario ejecuta esos comandos en la Terminal, lo que realmente hacen es descargar un archivo desde un servidor controlado por los atacantes, descomprimirlo y ejecutarlo directamente en el sistema. Esto evita que el usuario vea un “archivo sospechoso” y también esquiva muchas protecciones de macOS, porque desde el punto de vista del sistema es el propio usuario quien está pidiendo instalar algo. El comando también suele dar permisos elevados para que el malware pueda colocarse en rutas del sistema donde tiene más libertad.
Una vez ejecutado ese payload, el instalador del malware coloca AMOS Stealer en el ordenador, establece mecanismos de persistencia para arrancar de nuevo tras reiniciar y empieza a recopilar y enviar información.
Mientras los usuarios están convencidos de que están siguiendo al dedillo instrucciones de mantenimiento verdaderas, en realidad lo que están haciendo es abrir las puertas a una operación de robo de datos a gran escala.
La clave de esta campaña, según subrayan desde Huntress, no es que explote vulnerabilidades en el software o un fallo de los Mac, sino que aprovecha la confianza psicológica de los usuarios. Con la guardia baja, los cibermalos lo tienen mucho más fácil.
Acerca del autor
