ClickFix en macOS: una orden pegada vacía el monedero cripto poco a poco
Una campaña ClickFix contra macOS analizada por Huntress termina con la víctima pegando una sola orden en Terminal y entregando su llavero, las contraseñas del navegador y, potencialmente, una parte de su criptomoneda. Los investigadores publicaron sus hallazgos el 6 de agosto de 2026, después de que una búsqueda retrospectiva de amenazas realizada en junio destapara un ladrón escrito en Go que llevaba en un Mac supervisado desde marzo, unos noventa días sin que nadie lo advirtiera.
Cómo funciona el ataque ClickFix en macOS
El cebo sigue el patrón ClickFix ya conocido: un correo con un enlace, una página que muestra un CAPTCHA falso o un error inventado, y unas instrucciones que piden al visitante "verificarse" ejecutando una orden en Terminal. Por el camino de entrada no se explota nada. El exploit es el usuario, y la orden que pega hace el resto.
Esa orden descargaba un script de Bash desde una dirección controlada por los atacantes, lo ejecutaba, lo borraba y después limpiaba la ventana de Terminal y el historial de comandos para no dejar nada evidente. El script actuaba como perfilador y cargador: consultaba el hardware con herramientas que cualquier administrador de Mac reconocería, comprobaba la arquitectura del procesador y descargaba una de las dos cargas Mach-O compiladas en Go, una para Apple Silicon y otra para Intel.
Qué se lleva el ladrón
Una vez en marcha, la carga rastreaba el disco en busca de archivos que guardan credenciales. Según Huntress, el botín incluye las bases de contraseñas de los navegadores, credenciales almacenadas en cookies y datos del llavero de Apple, que en un Mac corriente es el objetivo más jugoso de toda la máquina. Todo lo recopilado salía hacia una dirección externa.
Para llegar a las partes del sistema que un proceso de usuario normal no puede tocar, el malware recurría a osascript para levantar lo que parece una petición de contraseña corriente de macOS, presentada como una reparación de archivos de sistema dañados. Es un diálogo que el propio sistema operativo podría haber mostrado, y escribir ahí la contraseña es justo lo que completa el compromiso.
La función DRAIN y por qué el robo parcial es novedad
Lo que distingue a esta muestra es una rutina que sus autores llamaron DRAIN. Busca monederos de Bitcoin, Litecoin, Dogecoin, Monero, Ethereum y XRP, y lleva incrustada una lista de direcciones controladas por los atacantes.
Los vaciadores de monederos suelen dejarlos a cero de una sola vez, porque el operador da por hecho que tiene un único intento antes de que la víctima lo note. Este trae una variable DRAIN_PCT y lógica por cada moneda para calcular cuánto vale un porcentaje dado del saldo, de modo que puede llevarse una parte en lugar de todo. Huntress afirma que es el primer vaciador que analizan capaz de dejarle a la víctima el cambio a propósito. Un monedero al que le falta un uno por ciento parece una comisión, un error de redondeo o un recuerdo impreciso, y un robo que nadie denuncia es un robo que se puede repetir.
Persistencia e infraestructura
El malware se mantenía vivo escondiéndose en una ruta que suplanta a los componentes de actualización de software de Apple dentro de la carpeta Library del usuario y registrándose en el subsistema Background Task Management mediante launchctl. Es un lugar que casi nadie inspecciona y un nombre que casi nadie cuestiona.
El servidor del cargador, el que alojaba la carga y el punto de mando y control apuntaban todos a infraestructura de Aeza Group, un proveedor ruso de alojamiento a prueba de balas. Estados Unidos sancionó a Aeza en julio de 2025, y el Reino Unido y Australia lo hicieron en noviembre de 2025, por su papel en alojar ransomware, ladrones de información y otras operaciones criminales. Pese a esas sanciones, la misma infraestructura seguía dando servicio a esta campaña.
Cómo protegerse
- Trata las instrucciones de Terminal como hostiles: negarse a pegar órdenes que no has escrito ni entiendes es el único hábito que detiene toda esta clase de ataques.
- Desconfía de las peticiones de contraseña inesperadas: un cuadro que de la nada pide la contraseña del Mac para "reparar archivos del sistema" es una señal de alarma, y cancelar no cuesta nada.
- No guardes cripto seria en el equipo de diario: un monedero de hardware mantiene las claves de firma lejos de cualquier software que consiga ejecutarse en tu Mac.
- Concilia saldos, no solo titulares: el vaciado parcial está diseñado para esconderse en el ruido, así que las salidas pequeñas e inexplicables merecen la misma atención que un monedero vacío.
- Filtra en la capa DNS: la página cebo tiene que cargarse antes que nada, y bloquearla sale más barato que limpiar después.
El portapapeles y el navegador se han convertido en silencio en la parte más blanda del entramado cripto, y no es un caso aislado: hace poco se pilló a un script publicitario comprometido reescribiendo direcciones de monedero en miles de sitios legítimos, y las credenciales que cosechan ladrones como este acaban en los mismos volcados agregados que dieron lugar a los 24.000 millones de contraseñas expuestas en una sola base de datos abierta. Como el primer eslabón de la cadena siempre es una página que debe cargarse, el filtrado a nivel de red importa más que antes, y por eso muchas herramientas de privacidad incorporan hoy listas de bloqueo DNS que frenan el cebo antes de que el usuario llegue a ver el CAPTCHA falso.
