Este nuevo malware de Mac no te permitirá usar tu computadora hasta que entregues tu contraseña.

      Una nueva cepa de malware para macOS descubierta está llevando la ingeniería social a un nivel inquietante. En lugar de explotar una vulnerabilidad de software o robar información en silencio en segundo plano, simplemente se niega a dejarte usar tu Mac hasta que escribas tu contraseña de inicio de sesión.

      Apodado ClickLock, el malware apaga repetidamente procesos clave de macOS, desactiva notificaciones, muestra mensajes de contraseña de Apple convincentes y efectivamente atrapa a los usuarios en un bucle que solo termina cuando se introduce la contraseña correcta. Una vez que eso sucede, no solo roba la contraseña. También va tras los datos del navegador, billeteras de criptomonedas, credenciales guardadas, administradores de contraseñas y mucho más.

      Un informe de BleepingComputer indica que los investigadores de Group-IB dicen que el malware ya ha infectado al menos 100 sistemas en 33 países desde mayo. Aún más preocupante, cuando se subió por primera vez a VirusTotal en junio, ninguno de los motores de seguridad en la plataforma lo marcó como malicioso.

      ClickLock no hackea tu Mac. Te hackea a ti.

      A diferencia de muchas campañas de malware modernas que dependen de exploits de día cero o vulnerabilidades de escalada de privilegios, ClickLock tiene éxito a través de la presión psicológica. Se cree que la infección comienza con un ataque al estilo ClickFix, donde los usuarios son engañados para copiar y pegar un comando en Terminal bajo la apariencia de completar una verificación "humana" de Cloudflare. Mientras una barra de progreso de verificación falsa mantiene distraída a la víctima, el malware descarga silenciosamente sus cargas útiles en segundo plano.

      Al mismo tiempo, desactiva las interrupciones del teclado, oculta el cursor de Terminal y suprime las alertas del Centro de Notificaciones de macOS durante casi seis horas, lo que dificulta que las víctimas se den cuenta de que algo sospechoso está sucediendo.

      La característica más perturbadora del malware viene a continuación. Muestra lo que parece ser un diálogo de contraseña de macOS legítimo, completo con el nombre real de la cuenta del usuario y la marca de Apple. Si la víctima introduce la contraseña del sistema correcta, ClickLock la valida de inmediato y envía las credenciales a los atacantes a través de Telegram.

      Si el usuario se niega, el malware no se rinde. En cambio, instala mecanismos de persistencia que se reactivan después del siguiente inicio de sesión. Una vez activado, ClickLock comienza a matar procesos críticos de macOS cada 210 milisegundos, incluyendo Finder, Dock, Terminal, Monitor de Actividad, Consola, Configuración del Sistema, Spotlight e incluso navegadores web populares.

      El resultado es un Mac que parece casi completamente inutilizable, dejando solo el aviso de contraseña visible en la pantalla. Según Group-IB, este bucle puede continuar durante más de 83 horas, o hasta que la víctima finalmente ceda.

      Quiere mucho más que tu contraseña

      La contraseña de inicio de sesión es solo el comienzo. ClickLock también intenta engañar a las víctimas para que aprueben un aviso de acceso a llaveros genuino que otorga permiso a la clave de Almacenamiento Seguro de Chrome. Esa clave puede usarse más tarde para descifrar contraseñas almacenadas, cookies e información de autocompletar de navegadores basados en Chromium.

      El módulo de robo de datos del malware lanza una red excepcionalmente amplia. Apunta a perfiles de navegador de Chrome, Firefox, Brave, Microsoft Edge, Opera, Vivaldi, Arc y Chromium, cosechando contraseñas guardadas, cookies, marcadores, sesiones de navegación, almacenamiento local e información de autocompletar.

      Los usuarios de criptomonedas enfrentan un riesgo aún mayor. ClickLock busca extensiones de billetera del navegador, archivos de billetera de escritorio, bóvedas de billetera encriptadas y direcciones de billetera en caché en ecosistemas de blockchain importantes, incluyendo Bitcoin, cadenas compatibles con Ethereum, Solana, TRON, TON y Stacks.

      También recopila configuraciones de FTP de FileZilla, historial de comandos, información básica del sistema y direcciones IP públicas antes de comprimir todo en archivos ZIP y subir los datos robados a través de la API de Telegram Bot. Para asegurar que los atacantes mantengan acceso a largo plazo, ClickLock despliega una versión modificada de la herramienta de código abierto GSocket, creando una puerta trasera persistente capaz de controlar remotamente el Mac infectado. A diferencia de otros componentes del malware, que se eliminan después de la ejecución para minimizar la evidencia forense, esta puerta trasera permanece activa en el sistema.

      Las técnicas de sigilo no terminan ahí. Los investigadores dicen que el malware está alojado en sitios web comprometidos pero de otro modo legítimos, ayudando a evadir sistemas de seguridad basados en reputación. Sus cargas útiles también se eliminan después de la ejecución, dejando muy pocas huellas. A pesar de eso, Group-IB dice que los defensores aún pueden detectar comportamientos sospechosos observando cuadros de diálogo de contraseña repetidos generados a través de osascript, la terminación continua de procesos de macOS, el acceso masivo a carpetas de perfiles de navegador y conexiones salientes inusuales a Telegram.

      Sin embargo, la mayor lección es sorprendentemente simple. Si un sitio web alguna vez te pide que abras Terminal y pegues un comando para demostrar que eres humano, cierra la página de inmediato. Ningún sitio web legítimo, incluido Cloudflare, requiere acceso a Terminal para la verificación humana. Y si tu Mac de repente se vuelve inutilizable mientras exige repetidamente tu contraseña del sistema, resiste la tentación de cumplir. En su lugar, fuerza un apagado usando el botón de encendido, reinicia en Modo Seguro e investiga el sistema antes de ingresar cualquier credencial. En el caso de ClickLock, tu contraseña no está resolviendo el problema. Es exactamente lo que los atacantes están esperando.