Una nueva variante de malware en macOS está llevando la ingeniería social a un nivel inquietante. En lugar de explotar una vulnerabilidad de software o robar información en segundo plano en silencio, simplemente se niega a dejarte usar tu Mac hasta que escribas tu contraseña de acceso.
Llamado ClickLock, el malware apaga repetidamente procesos clave de macOS, desactiva notificaciones, muestra mensajes de contraseñas convincentes de Apple y atrapa efectivamente a los usuarios en un bucle que solo termina cuando se introduce la contraseña correcta. Una vez que eso ocurre, no solo roba la contraseña. Va tras datos del navegador, carteras de criptomonedas, credenciales guardadas, gestores de contraseñas y mucho más.
Un informe de BleepingComputer indica que investigadores de Group-IB afirman que el malware ya ha infectado al menos 100 sistemas en 33 países desde mayo. Aún más preocupante, cuando se subió por primera vez a VirusTotal en junio, ninguno de los motores de seguridad de la plataforma lo marcó como malicioso.
ClickLock no hackea tu Mac. Te hackea.
A diferencia de muchas campañas modernas de malware que dependen de exploits zero-day o vulnerabilidades de escalada de privilegios, ClickLock tiene éxito gracias a la presión psicológica. Se cree que la infección comienza con un ataque al estilo ClickFix, donde los usuarios son engañados para copiar y pegar un comando en Terminal bajo el pretexto de completar una comprobación de “verificación humana” de Cloudflare. Mientras una barra de progreso de verificación falsa mantiene distraída a la víctima, el malware descarga silenciosamente sus cargas útiles en segundo plano.
Al mismo tiempo, desactiva las interrupciones de teclado, oculta el cursor del terminal y suprime las alertas del Centro de Notificaciones de macOS durante casi seis horas, dificultando mucho que las víctimas se den cuenta de que ocurre algo sospechoso.
La característica más inquietante del malware viene a continuación. Muestra lo que parece ser un diálogo legítimo con contraseñas de macOS, completo con el nombre real de la cuenta del usuario y la marca Apple. Si la víctima introduce la contraseña correcta del sistema, ClickLock la valida inmediatamente y envía las credenciales a los atacantes a través de Telegram.
Si el usuario se niega, el malware no se rinde. En su lugar, instala mecanismos de persistencia que se reactivan tras el siguiente inicio de sesión. Una vez activado, ClickLock comienza a matar procesos críticos de macOS cada 210 milisegundos, incluyendo Finder, Dock, Terminal, Monitor de actividad, Consola, Configuración del sistema, Spotlight e incluso navegadores web populares.
El resultado es un Mac que parece casi completamente inutilizable, dejando solo visible la contraseña en pantalla. Según el Grupo IB, este bucle puede continuar durante más de 83 horas, o hasta que la víctima finalmente ceda.
Quiere mucho más que tu contraseña
La contraseña de acceso es solo el principio. ClickLock también intenta engañar a las víctimas para que aprueben un acceso genuino al Llavero que concede permiso a la clave de Almacenamiento Seguro de Chrome. Esa clave puede usarse más tarde para descifrar contraseñas almacenadas, cookies y autocompletar información desde navegadores basados en Chromium.
El módulo de robo de datos del malware abarca una red excepcionalmente amplia. Apunta a perfiles de navegador de Chrome, Firefox, Brave, Microsoft Edge, Opera, Vivaldi, Arc y Chromium, recopilando contraseñas guardadas, cookies, marcadores, sesiones de navegación, almacenamiento local e información de autocompletado.
Los usuarios de criptomonedas se enfrentan a un riesgo aún mayor. ClickLock busca extensiones de monedero de navegador, archivos de monedero de escritorio, bóvedas cifradas y direcciones de monedera en caché en grandes ecosistemas blockchain, incluyendo Bitcoin, cadenas compatibles con Ethereum, Solana, TRON, TON y Stacks.
También recopila configuraciones FTP de FileZilla, historial de shell, información básica del sistema y direcciones IP públicas antes de comprimir todo en archivos ZIP y subir los datos robados a través de la API de Telegram Bot. Para garantizar que los atacantes mantengan el acceso a largo plazo, ClickLock despliega una versión modificada de la herramienta de código abierto GSocket, creando una puerta trasera persistente capaz de controlar remotamente el Mac infectado. A diferencia de los otros componentes del malware, que se eliminan tras la ejecución para minimizar la evidencia forense, esta puerta trasera permanece activa en el sistema.
Las técnicas de sigilo no terminan ahí. Los investigadores afirman que el malware está alojado en sitios web comprometidos pero legítimos, lo que le ayuda a evadir sistemas de seguridad basados en la reputación. Sus cargas útiles también se eliminan tras la ejecución, dejando muy pocas huellas. A pesar de ello, Group-IB afirma que los defensores aún pueden detectar comportamientos sospechosos vigilando cuadros de diálogo repetidos con contraseñas generados mediante osascript, la terminación continua de procesos de macOS, el acceso masivo a carpetas de perfiles del navegador y conexiones salientes inusuales a Telegram.
Sin embargo, la conclusión más importante es sorprendentemente sencilla. Si alguna vez una web te pide abrir Terminal y pegar un comando para demostrar que eres humano, cierra la página inmediatamente. Ningún sitio web legítimo, incluido Cloudflare, requiere acceso a Terminal para verificación humana. Y si tu Mac de repente se vuelve inutilizable mientras te pides repetidamente la contraseña del sistema, resiste la tentación de cumplir. En su lugar, fuerza un apagado usando el botón de encendido, reinicia en Modo Seguro e investiga el sistema antes de introducir cualquier credencial. En el caso de ClickLock, tu contraseña no está resolviendo el problema. Es exactamente lo que los atacantes están esperando.
