- Ciberdelincuentes utilizan anuncios patrocinados en X (Twitter) para suplantar la aplicación DynamicLake de macOS.
- La campaña emplea la técnica ClickFix para forzar la ejecución de comandos maliciosos en la Terminal del ordenador.
- El software infectado es el potente Atomic Stealer, capaz de robar contraseñas, archivos y carteras de criptomonedas.
- El fraude se propaga incluso a través de cuentas verificadas, logrando saltarse los controles de seguridad de la plataforma.
Navegar por las redes sociales hoy en día requiere que estemos con mil ojos, especialmente cuando nos cruzamos con contenido que parece oficial pero que esconde intenciones muy turbias. Recientemente se ha detectado una peligrosa campaña de ciberdelincuencia en la plataforma X, la antigua Twitter, donde los atacantes están comprando espacios publicitarios para distribuir malware diseñado específicamente para usuarios de ordenadores de Apple. La trampa está tan bien hilada que incluso los usuarios más precavidos podrían picar el anzuelo si no se fijan en los pequeños detalles de la URL.
El problema reside en que estos anuncios no aparecen como mensajes sospechosos de cuentas desconocidas, sino que se camuflan perfectamente entre la publicidad legítima que vemos a diario en nuestro muro. Los investigadores de Jamf Threat Labs han puesto el grito en el cielo tras descubrir que estos tuits promocionados están infectando equipos MacBook de forma silenciosa, aprovechándose de la confianza que genera ver un anuncio patrocinado en una red social de tal calibre. No se trata solo de spam molesto, sino de una amenaza real que pone en jaque la privacidad de quienes buscan mejorar su experiencia con macOS.
La suplantación de DynamicLake y la técnica ClickFix
El gancho principal de esta estafa es una aplicación llamada DynamicLake, una herramienta bastante popular que permite emular la ‘Dynamic Island’ de los iPhone en los ordenadores de Apple. Los delincuentes han clonado por completo la estética, los logotipos y las capturas de pantalla de la app original para que el anuncio parezca cien por cien real a ojos de cualquier usuario. Sin embargo, al pinchar en el enlace, en lugar de ir a la web oficial, se redirige a los incautos a un dominio fraudulento que apenas varía un par de letras respecto al legítimo, algo que suele pasar desapercibido en una lectura rápida.
Una vez que la víctima entra en el sitio web falso, se pone en marcha lo que los expertos en seguridad llaman la técnica ‘ClickFix’. En este escenario, la página muestra un supuesto error de instalación y convence al usuario para que abra la aplicación Terminal de su Mac y pegue un comando de ejecución directa. Esta es la parte más crítica, ya que al hacerlo se le está dando permiso al sistema para que descargue e instale código malicioso sin que pase por ningún filtro de seguridad del navegador, lo que facilita enormemente el trabajo a los hackers.
Atomic Stealer: el ladrón silencioso de tus datos
Lo que realmente se instala tras ejecutar ese comando no es ninguna mejora visual para el Mac, sino una variante del temido malware Atomic Stealer (también conocido como AMZ). Este programa está diseñado para actuar en segundo plano y tiene un apetito voraz por la información personal, similar a cómo actúan el troyano Sturnus para robar contraseñas. Según han contrastado diversas firmas de ciberseguridad, este virus es capaz de extraer contraseñas guardadas en el llavero, cookies de sesión de los navegadores, archivos confidenciales del sistema y, lo que es más lucrativo para los atacantes, las claves de carteras de criptomonedas.
La efectividad de este software reside en su discreción, ya que una vez infectado el equipo, el usuario no nota ninguna ralentización ni comportamiento extraño mientras sus datos vuelan hacia servidores externos. Por eso es vital recordar que nunca se deben ejecutar comandos en la terminal que provengan de fuentes no oficiales o de páginas web que nos lo pidan para «solucionar» un problema de descarga. En el ecosistema Apple, lo más sensato es recurrir siempre a la Mac App Store o verificar de forma manual que el desarrollador está debidamente certificado por la compañía de Cupertino antes de instalar nada.
Cuentas verificadas y el fallo en los controles de X
Lo que más mosquea de este caso es que la campaña se lanzó utilizando cuentas que tenían la insignia de verificación azul de X. Al parecer, los ciberdelincuentes tomaron el control de perfiles con un buen número de seguidores para dar una pátina de legitimidad a sus anuncios. Al ser cuentas verificadas, los sistemas automáticos de revisión de publicidad de la red social de Elon Musk no detectaron el enlace malicioso, permitiendo que el anuncio llegara a miles de personas en muy poco tiempo. El propietario de una de estas cuentas ni siquiera sabía que se estaba usando su perfil para estafar a la gente, lo que demuestra que nadie está a salvo.
Este tipo de incidentes pone de relieve que el proceso de filtrado de anuncios en las grandes redes sociales está haciendo aguas por todas partes. No es la primera vez que ocurre algo similar, ya que se han visto casos parecidos en Google Ads, pero el hecho de que en X se aproveche la visibilidad de los perfiles verificados lo hace especialmente peligroso. Al final, la responsabilidad de no caer en la red recae directamente sobre el usuario, quien debe sospechar sistemáticamente de cualquier descarga que no provenga del canal oficial del desarrollador, por muy bonito y patrocinado que sea el anuncio que se le presente en pantalla.
La seguridad absoluta en internet no existe, pero aplicar el sentido común es la mejor barrera que podemos levantar contra estos piratas informáticos. Si un anuncio nos pide pasos raros para instalar una aplicación sencilla, lo mejor es cerrar la pestaña y buscar la herramienta por nuestra cuenta en sitios de confianza. Recordad que mantener el sistema operativo actualizado y no fiarse de las apariencias en redes sociales son las claves para evitar que nuestros datos personales acaben en manos ajenas por culpa de un simple clic mal dado en el momento menos oportuno.
