Atomic Stealer macOS: Nueva amenaza de ClickFix y robo de datos

El ecosistema de Apple, históricamente percibido como un búnker digital inexpugnable, está enfrentando una de sus crisis de seguridad más sofisticadas hasta la fecha. A finales de abril de 2026, una nueva variante del malware Atomic Stealer macOS ha comenzado a circular con una eficacia alarmante, utilizando una técnica de ingeniería social conocida como “ClickFix”. Este ataque no se basa en vulnerabilidades complejas del núcleo del sistema, sino en la explotación del eslabón más débil y, a la vez, más esencial: el usuario.

La reciente alerta emitida por SecureMac y Jamf Threat Labs revela un cambio de paradigma en la forma en que los ciberdelincuentes acceden a las flotas de dispositivos Mac. Ya no se trata solo de convencer a alguien de descargar un archivo .dmg sospechoso; ahora, los atacantes están utilizando esquemas de URL nativos para automatizar la infección. La evolución del Atomic Stealer macOS (también conocido como AMOS) demuestra que el malware-as-a-service (MaaS) para dispositivos Apple ha alcanzado un nivel de madurez técnica que obliga a replantear las estrategias de defensa tanto para usuarios domésticos como para administradores de sistemas en entornos corporativos.

La anatomía del ataque ClickFix: ¿Por qué el esquema applescript:// es tan peligroso?

Durante años, el método estándar para infectar un Mac involucraba trucos para que el usuario desactivara Gatekeeper o permitiera la ejecución de software no firmado. Sin embargo, con las actualizaciones de seguridad en las versiones más recientes de macOS —específicamente la versión 26.4 lanzada a principios de 2026—, Apple introdujo advertencias críticas cuando un usuario intenta pegar comandos potencialmente peligrosos directamente en la Terminal. Esta “fricción de seguridad” salvó a miles de ser víctimas de ataques de “copiar y pegar”.

Como respuesta inmediata, los desarrolladores detrás de Atomic Stealer macOS han pivotado hacia una herramienta mucho menos vigilada: el Script Editor (Editor de Scripts). El ataque ClickFix moderno funciona de la siguiente manera:

• El Engaño Inicial: El usuario llega a un sitio web fraudulento que imita a la perfección el centro de soporte de Apple o una página de actualización de software (como Zoom o Microsoft Teams). El sitio muestra un error falso, sugiriendo que el sistema necesita una “corrección rápida” o que debe “liberar espacio en disco” para continuar.
• La Invocación del Protocolo: Al hacer clic en un botón de “Solucionar” o “Ejecutar”, el sitio web activa el esquema de URL applescript://. Este es un protocolo legítimo de macOS diseñado para abrir scripts de automatización.
• Bypass de la Terminal: En lugar de abrir la Terminal —donde el sistema ahora mostraría una alerta roja de seguridad—, el navegador solicita permiso para abrir el Script Editor. Dado que el Script Editor es una aplicación “confiable” y nativa de Apple, muchos usuarios conceden el permiso sin sospechar.
• Carga Pre-completada: Una vez abierto, el Script Editor aparece con un código ya escrito. El mensaje en la web instruye al usuario a simplemente presionar el botón “Run” (Ejecutar) para “limpiar su Mac”.

Este método es quirúrgico porque desplaza el punto de ejecución de una herramienta de administración (Terminal) a una de automatización (Script Editor), donde las protecciones de Apple contra el “copiar y pegar” de comandos maliciosos aún no son tan restrictivas.

Del navegador a la memoria: La ejecución silenciosa de AMOS

Una vez que el usuario presiona “Ejecutar” en el Script Editor, se desata una cadena de eventos diseñada para evadir la detección de los antivirus tradicionales. El código inicial suele ser una línea ofuscada que utiliza el comando do shell script combinado con curl y zsh.

Lo que hace que esta variante de 2026 de Atomic Stealer macOS sea particularmente insidiosa es su ejecución “in-memory”. El script inicial no descarga un archivo ejecutable directamente al disco (lo cual activaría alertas de Gatekeeper), sino que descarga un script de segunda etapa que se ejecuta directamente en la memoria del sistema. Solo después de realizar comprobaciones de entorno —para asegurarse de que no se está ejecutando en una máquina virtual de un investigador de seguridad—, el malware procede a descargar el payload principal en una ubicación temporal, generalmente /tmp/helper.

Evolución técnica de Atomic Stealer macOS en 2026

Desde su aparición en los canales de Telegram en 2023, AMOS ha pasado de ser un simple recolector de contraseñas a un kit de espionaje completo. La versión detectada en abril de 2026 incluye capacidades que antes se consideraban exclusivas de los ataques dirigidos por estados-nación.

El payload final de Atomic Stealer macOS es un binario Mach-O que, al ejecutarse, realiza las siguientes acciones de forma casi instantánea:

1. Extracción de Llaveros (Keychains): Utiliza prompts de sistema falsos, que imitan visualmente las ventanas de autenticación de macOS, para engañar al usuario y obtener la contraseña de administración. Con esto, descifra y roba todo el contenido del iCloud Keychain.
2. Saqueo de Billeteras de Criptomonedas: AMOS tiene como objetivo específico más de 50 extensiones de navegador, incluyendo MetaMask, Binance, Phantom y Coinbase Wallet. No solo roba las claves privadas, sino que en las versiones más recientes busca archivos de configuración de carteras frías si están conectadas al equipo.
3. Recolección de Datos de Navegador: Extrae cookies de sesión (permitiendo el bypass de la autenticación de dos factores o 2FA), historial de navegación, tarjetas de crédito guardadas y autocompletados de Chrome, Safari y Firefox.
4. Backdoor y Persistencia: A diferencia de las primeras versiones que eran de “un solo uso”, el Atomic Stealer macOS de 2026 instala un agente de persistencia ligero. Esto permite a los atacantes volver a entrar al sistema incluso si el usuario cambia sus contraseñas después del ataque inicial.

La sofisticación del malware se refleja en su uso de comandos como xattr -c para eliminar los atributos extendidos de los archivos descargados, borrando efectivamente la “marca de la web” que macOS utiliza para rastrear archivos descargados de internet y aplicar políticas de seguridad.

El factor humano: Por qué los parches de software no son suficientes

El informe de Jamf Threat Labs subraya una verdad incómoda: Apple puede fortalecer el código de su sistema operativo, pero no puede “parchear” la confianza del usuario. El ataque ClickFix explota la fatiga de decisión. En un entorno donde recibimos notificaciones constantes, una ventana que dice “Su sistema requiere una optimización de disco” parece una tarea rutinaria más.

Los atacantes están utilizando plantillas de diseño que imitan el lenguaje visual de “macOS Tahoe” (la versión supuesta para 2026). Esto incluye el uso correcto de tipografías SF Pro, iconos con esquinas redondeadas exactas y una gramática impecable en varios idiomas, incluido el español de Latinoamérica. Esta atención al detalle reduce la fricción psicológica y hace que el Atomic Stealer macOS sea extremadamente efectivo en entornos corporativos donde los empleados están acostumbrados a herramientas de autogestión de IT.

Identificando el compromiso: Señales de alerta para el usuario

Para aquellos que gestionan su propia seguridad digital, es vital reconocer que macOS nunca pedirá que abras el Script Editor para solucionar un problema de sistema de forma automática a través de un sitio web. Las actualizaciones oficiales siempre se gestionan a través de la App Store o el panel de “Ajustes del Sistema”.

Si un usuario sospecha que ha sido víctima de este ataque, debe buscar las siguientes señales:

• Presencia de archivos inusuales en la carpeta /tmp, como ejecutables llamados “helper”, “sysupdate” o nombres aleatorios.
• Solicitudes inesperadas de la contraseña de administrador inmediatamente después de navegar por un sitio web desconocido.
• Procesos activos en el Monitor de Actividad con nombres como osascript o zsh consumiendo recursos de red inusuales.
• Cierres de sesión repentinos en aplicaciones de mensajería como Telegram o Discord (indicativo de robo de tokens de sesión).

Estrategias de defensa y mitigación en 2026

La defensa contra el Atomic Stealer macOS requiere un enfoque de capas. No basta con confiar en XProtect, el antivirus integrado de Apple, ya que los desarrolladores de AMOS prueban sus binarios contra las definiciones de XProtect antes de lanzarlos al mercado negro.

Recomendaciones para usuarios avanzados y empresas:

• Restricción de Esquemas de URL: Utilizar perfiles de configuración (MDM) para restringir o alertar sobre el uso de esquemas como applescript:// y terminal:// desde navegadores web.
• Monitoreo de Comportamiento: Implementar herramientas de EDR (Endpoint Detection and Response) que no solo busquen firmas de archivos, sino que detecten comportamientos anómalos, como un proceso de Script Editor invocando conexiones externas vía curl.
• Uso de Llaves de Seguridad Físicas: Dado que AMOS es experto en robar cookies para saltar el 2FA basado en SMS o aplicaciones, el uso de llaves físicas (como YubiKey) es la única defensa real contra el secuestro de cuentas, ya que la llave física no puede ser “clonada” por el malware.
• Educación Continua: En 2026, la formación en ciberseguridad debe centrarse en los “ataques de flujo de trabajo”. Los empleados deben saber que ningún soporte técnico legítimo les pedirá que copien, peguen o ejecuten scripts manuales bajo ninguna circunstancia.

Conclusión: El futuro de la seguridad en Mac

El resurgimiento de Atomic Stealer macOS a través de las tácticas ClickFix marca un hito en la historia del malware para Mac. Estamos ante una amenaza que es técnica en su ejecución pero psicológica en su origen. Mientras Apple continúe cerrando puertas en la Terminal y el Kernel, los atacantes seguirán buscando “ventanas abiertas” en aplicaciones de productividad y herramientas de automatización como el Script Editor.

La lección de abril de 2026 es clara: la seguridad de un Mac ya no depende exclusivamente de lo que Apple construye, sino de la capacidad del usuario para discernir entre una notificación legítima del sistema y una trampa de ingeniería social cuidadosamente diseñada. En la era de la inteligencia artificial y la automatización maliciosa, el escepticismo es la herramienta de seguridad más potente que cualquier usuario de Apple puede instalar.