Ćltimamente, navegar por las redes sociales se ha convertido en una actividad que requiere tener mil ojos, especialmente cuando nos topamos con publicidad que parece demasiado buena para ser cierta. Resulta que se ha detectado una ofensiva bastante seria en la plataforma X, anteriormente conocida como Twitter, donde los ciberdelincuentes estĆ”n aprovechando el sistema de anuncios pagados para colar software malicioso a quienes utilizan ordenadores de Apple. La trampa estĆ” tan bien montada que incluso usuarios con experiencia podrĆan morder el anzuelo si no se fijan en los pequeƱos detalles de las direcciones web.
La voz de alarma la han dado los investigadores de Jamf Threat Labs, quienes han desgranado cĆ³mo funciona este timo que utiliza la imagen de aplicaciones legĆtimas para ganarse nuestra confianza. En esta ocasiĆ³n, los atacantes han puesto el ojo en los usuarios de macOS, un sistema que tradicionalmente se consideraba mĆ”s seguro, pero que no estĆ” libre de las artimaƱas de la ingenierĆa social. Lo mĆ”s preocupante de todo es que el anuncio aparecĆa como contenido patrocinado, lo que le otorga un aura de legitimidad que es precisamente lo que buscan estos grupos para infectar el mayor nĆŗmero de equipos posible en tiempo rĆ©cord.
El gancho de la Dynamic Island en los anuncios de X
El cebo elegido para esta campaƱa es DynamicLake, una herramienta bastante conocida entre la comunidad de Mac que sirve para imitar la funciĆ³n de la Isla DinĆ”mica de los iPhone en la pantalla del ordenador. Los delincuentes no se han cortado un pelo y han copiado desde el logotipo hasta las capturas de pantalla de la aplicaciĆ³n real para que el anuncio no levantara sospechas. De este modo, cualquier persona interesada en personalizar su MacBook con esta utilidad podĆa acabar pinchando en un enlace que, aunque visualmente parecĆa correcto, dirigĆa a un dominio fraudulento muy similar al oficial.
Al entrar en la pĆ”gina falsa, que utilizaba nombres de dominio como ādynamicmacisland.comā o ādynamicmaclake.comā, se invitaba al usuario a descargar el programa. La diferencia con una instalaciĆ³n normal es que el sitio web pedĆa a las vĆctimas que abrieran la Terminal de su Mac para ejecutar un comando especĆfico. Este paso es el corazĆ³n del engaƱo, ya que, en lugar de instalar la aplicaciĆ³n prometida, lo que realmente hacĆa ese cĆ³digo era abrir de par en par las puertas del sistema para que un agente malicioso se instalara de forma silenciosa y sin dejar rastro aparente para el dueƱo del equipo.
La tƩcnica ClickFix y el uso de cuentas verificadas
Este mĆ©todo de engaƱo se conoce tĆ©cnicamente como āClickFixā. BĆ”sicamente, consiste en manipular al usuario para que solucione un supuesto problema tĆ©cnico o complete una instalaciĆ³n realizando acciones manuales que eluden las protecciones automĆ”ticas del navegador. Al ser el propio usuario quien ejecuta el comando, el sistema operativo interpreta que es una acciĆ³n legĆtima y permitida, lo que facilita enormemente el trabajo a los hackers. Es una jugada bastante sucia que se aprovecha del desconocimiento tĆ©cnico de mucha gente que solo quiere que su nueva aplicaciĆ³n funcione cuanto antes.
Otro factor que ha hecho que esta campaƱa sea especialmente peligrosa es el uso de cuentas verificadas en X. Parece ser que los atacantes consiguieron hacerse con el control de perfiles que tenĆan el check azul y un buen nĆŗmero de seguidores, o bien engaƱaron a los propietarios de estas cuentas para que publicaran el anuncio fraudulento. Al ver que la publicidad viene de una cuenta que parece oficial o importante, bajamos la guardia, pensando que la red social ya ha hecho los deberes comprobando que el anunciante es de fiar. Lamentablemente, los sistemas automĆ”ticos de revisiĆ³n de X no detectaron el dominio malicioso a tiempo.
Atomic Stealer: el ladrĆ³n silencioso que acecha en Mac
Una vez que el usuario ejecuta el comando en la Terminal, lo que se descarga es una variante de un malware llamado Atomic Stealer (tambiĆ©n conocido como MacSync). Este programa es lo que los expertos llaman un āinfostealerā, es decir, su Ćŗnico objetivo es rebaƱar toda la informaciĆ³n valiosa que encuentre en tu ordenador. No hace ruido, no bloquea el equipo ni pide rescates, simplemente se dedica a copiar tus contraseƱas guardadas, las cookies de sesiĆ³n del navegador para entrar en tus cuentas y, si tienes suerte de tenerlas, busca carteras de criptomonedas para vaciarlas.
AdemĆ”s de las claves y los datos bancarios, este tipo de software puede acceder a los archivos del sistema y enviar toda esa informaciĆ³n a servidores controlados por los atacantes. Se ha detectado que otras variantes como DigitStealer tambiĆ©n han estado dando vueltas en campaƱas similares. Lo que queda claro es que los ordenadores de Apple estĆ”n en el punto de mira de estos grupos organizados, que ven en el ecosistema de la manzana un terreno fĆ©rtil para encontrar datos sensibles de usuarios que, a veces, confĆan demasiado en la seguridad nativa de sus dispositivos sin sospechar de los enlaces externos.
Consejos para no caer en la red de los ciberestafadores
A raĆz de este incidente, X ha procedido a retirar los anuncios denunciados por Jamf Threat Labs, pero el daƱo para algunos ya podrĆa estar hecho. El propio desarrollador de la aplicaciĆ³n original DynamicLake ha mostrado su indignaciĆ³n, asegurando que es una faena que alguien use su marca para hacer daƱo a la comunidad de usuarios. Por eso, la recomendaciĆ³n de oro sigue siendo la misma de siempre: si vas a instalar algo en tu Mac, hazlo preferiblemente desde la Mac App Store o, en su defecto, asegĆŗrate de estar en la web oficial del creador revisando cada letra de la URL.
Es fundamental recordar que ninguna aplicaciĆ³n legĆtima y segura te va a pedir que copies y pegues comandos extraƱos en la Terminal para poder instalarse. Si ves que el proceso de instalaciĆ³n se vuelve demasiado rebuscado o te solicita permisos que no vienen a cuento, lo mejor es cerrar la pestaƱa y salir corriendo. Mantener el sistema actualizado y contar con alguna soluciĆ³n de seguridad como los mejores firewall para Mac no estĆ” de mĆ”s, pero al final del dĆa, nuestro sentido comĆŗn es la mejor barrera contra este tipo de ataques de ingenierĆa social que buscan pillarnos desprevenidos mientras echamos un vistazo a nuestro muro de noticias.
La seguridad en nuestras manos depende en gran medida de la cautela con la que gestionamos las descargas y los clics en entornos tan abiertos como las redes sociales. Aunque plataformas como X tengan sistemas de filtrado, este caso demuestra que no son infalibles y que los delincuentes siempre van un paso por delante buscando nuevas formas de saltarse las reglas. Estar informados sobre tƔcticas como el ClickFix y conocer los riesgos reales de ejecutar scripts desconocidos es vital para mantener nuestra privacidad a salvo y evitar que un simple anuncio acabe convirtiƩndose en un dolor de cabeza monumental para nuestro bolsillo y nuestra identidad digital.
