Evolución maliciosa: ClickFix y los infostealers de macOS

Como señalamos en diciembre de 2025, ClickFix es una técnica de ingeniería social cada vez más común que los ciberdelincuentes utilizan para engañar a los usuarios y que instalen malware en sus dispositivos.

A diferencia de los ataques tradicionales basados en exploits, este método se basa completamente en la interacción del usuario, normalmente en forma de copiar y ejecutar comandos, lo que lo hace especialmente eficaz contra usuarios que pueden no ser conscientes de las implicaciones de ejecutar comandos de terminal desconocidos y ofuscados. También cabe señalar que, a diferencia de la mayoría de las técnicas de phishing modernas, la autenticación resistente al phishing (por ejemplo, FIDO2) no es una defensa eficaz contra los ataques ClickFix.

Históricamente, las campañas ClickFix se han dirigido a los usuarios de Windows, aunque en junio de 2025, los investigadores describieron una campaña que involucraba una variante del infostealer Atomic macOS (AMOS) y que utilizaba señuelos específicos para macOS basados en cadenas de agente de usuario.

Durante los últimos tres meses, hemos observado tres campañas ClickFix dirigidas a usuarios de macOS con el infostealer MacSync. Aunque no sabemos si las campañas fueron llevadas a cabo por el mismo actor malicioso, hemos observado algo interesante: una clara evolución y cambio en los enfoques y tácticas, posiblemente en respuesta a los esfuerzos de investigación y disrupción, pero también, tal vez, como reflejo de tendencias sociales y del sector tecnológico más amplias.

Lee el artículo completo en inglés aquí.