Los investigadores han descubierto que los ciberdelincuentes están utilizando resultados de búsqueda patrocinados y chats compartidos de Claude para atraer a las víctimas a un típico ataque de tipo «ClickFix» con el fin de instalar malware en dispositivos macOS.
ClickFix es un método de ingeniería social que engaña a los usuarios para que infecten su propio dispositivo con malware. Se les indica a los usuarios que ejecuten comandos específicos que descargan malware, normalmente un programa diseñado para robar información.
Los investigadores descubrieron que, cuando los usuarios buscan términos como Mac Claude Mac », pueden ver resultados patrocinados de Google que parecen dirigirles al dominio legítimo claude.ai.
En realidad, los anuncios redirigen a chats reales compartidos por Claude, diseñados para parecer guías oficiales de «Claude Code on Maco del servicio de asistencia de Apple. Una investigación independiente realizada por BleepingComputer descubrió otro chat con el mismo objetivo. El chat indica a las víctimas que abran Terminal y peguen un comando codificado en base64, que descarga un script de shell de carga desde una infraestructura controlada por los atacantes y lo ejecuta en memoria.
A continuación, el script analiza el sistema, descarga una carga útil de segunda fase y la ejecuta a través de osascript, el motor de scripts integrado en macOS. Esto permite al atacante ejecutar código de forma remota (RCE) sin necesidad de instalar ninguna aplicación o archivo binario tradicional.
El resultado es una carga útil similar a la de MacSync que recopila credenciales del navegador, cookies, el contenido del llavero y datos de carteras de criptomonedas, los agrupa y envía toda esa información a través de HTTP a los servidores de los atacantes.
Cómo mantenerse seguro
Los usuarios que utilicen macOS Tahoe 26.4 o versiones posteriores verán avisos sobre posibles ataques de ClickFix, pero el resto de usuarios seguirá teniendo que guiarse por el sentido común.
Dado que ClickFix está en pleno apogeo y no deja de idear nuevos métodos, es importante mantenerse alerta, ser prudente y protegerse.
- Tómate tu tiempo. Note precipites a seguir las instrucciones de una página web o un mensaje, sobre todo si te piden que ejecutes comandos en tu dispositivo o que copies y pegues código. Los atacantes se aprovechan de la urgencia para eludir tu pensamiento crítico, así que ten cuidado con las páginas que te instan a actuar de inmediato. Las páginas sofisticadas de ClickFix incluyen cuentas atrás, contadores de usuarios u otras tácticas de presión para que actúes rápidamente.
- Evita ejecutar comandos o scripts procedentes de fuentes no fiables. Nuncaejecutes código o comandos copiados de sitios web, correos electrónicos o mensajes, a menos que confíes en la fuente y comprendas qué hace esa acción.
- Comprueba las instrucciones por tu cuenta. Siun sitio web te indica que ejecutes un comando o realices una acción técnica, consulta la documentación oficial o ponte en contacto con el servicio de asistencia antes de continuar.
- Limita el uso de «copiar y pegar» en los comandos.Escribir los comandos manualmente, en lugar de copiarlos y pegarlos, puede reducir el riesgo de ejecutar sin saberlo cargas maliciosas ocultas en el texto copiado.
- Protege tus dispositivos. Utiliza una versión actualizada y en tiempo real solución antimalware con protección web. Malwarebytes las conexiones a sitios poco seguros como estos.
- Infórmate sobre las técnicas de ataque en constante evolución.Ser consciente de que los ataques pueden provenir de lugares inesperados ayuda a mantener la vigilancia. ¡Sigue leyendo nuestro blog!
- No te fíes de los anuncios patrocinados que aparecen en los resultados de búsqueda. Cualquiera puede comprarlos y hacer que parezcan fiables.
Consejo de experto:El programa gratuito Malwarebytes Browser Guard te avisa cuando un sitio web intenta copiar algo en tu portapapeles.
Detén las amenazas antes de que puedan causar ningún daño.
Malwarebytes Browser Guard automáticamente las páginas de phishing y los sitios maliciosos. Es gratis y se instala con un solo clic. Añádelo a tu navegador →
