- El malware AmnesiaStealer utiliza módulos de streaming para controlar navegadores Chromium en tiempo real.
- La técnica de ClickFix engaña a los usuarios para ejecutar comandos maliciosos a través de Terminal.
- El robo de perfiles de navegador permite saltar la autenticación sin necesidad de contraseñas o PIN.
- La persistencia en macOS se logra abusando de Launch Agents, Login Items y librerías dinámicas.
Seguro que has oído hablar de las passkeys y de cómo prometían acabar con el drama de las contraseñas y el phishing. La idea es bonita: sin claves que robar, el problema desaparece. Pero hay un pequeño detalle que muchos pasan por alto: todo esto funciona siempre y cuando tu dispositivo esté limpio de malware. Si el equipo ya está comprometido, la matemática de la seguridad no sirve de nada porque el atacante actúa desde dentro.
Recientemente ha saltado la alarma con una amenaza llamada AmnesiaStealer, que no se limita a robar archivos, sino que convierte tu navegador en una marioneta. No se trata solo de copiar una contraseña, sino de montar un sistema donde el hacker puede entrar en tus cuentas bancarias o de trabajo mientras tú crees que todo está bajo control, aprovechando que la sesión ya está abierta, aumentando la preocupación por el robo de cuentas bancarias.
El engaño de ClickFix y la entrada al sistema
Todo empieza con una trampa muy común: una página que imita a GitHub ofreciendo un software para macOS. Para instalarlo, el usuario debe copiar y pegar un código en la Terminal. Este método, conocido como cadena de ataque ClickFix, es muy efectivo porque el usuario es quien ejecuta manualmente las instrucciones maliciosas. Una vez que el script corre, se descarga un archivo ZIP protegido con contraseña para evitar que los antivirus lo detecten fácilmente, instalando así el payload de AmnesiaStealer.
El malware no se queda quieto; lo primero que intenta es conseguir la contraseña de inicio de sesión de macOS mediante una ventana que parece oficial. Con este acceso, el atacante puede rebuscar en el Keychain de Apple, leer tus notas, entrar en Telegram y saquear cualquier cartera de criptomonedas que tengas instalada.
Control remoto y el módulo de streaming
Lo que hace que este malware sea especialmente peligroso es su componente stream_module. En lugar de limitarse a exportar cookies, el malware clona el perfil completo de navegadores basados en Chromium (como Chrome, Edge, Brave o Opera) y lanza una instancia del navegador en modo «headless» (invisible para el usuario).
A través de un canal WebSocket, el atacante puede ver la pantalla del navegador en tiempo real y enviar clics o pulsaciones de teclado. Básicamente, el hacker opera tu sesión autenticada desde su propia casa, saltándose cualquier prompt de huella dactilar o PIN, ya que el sistema reconoce que la sesión ya está activa en el host original.
La lucha por la persistencia en macOS
Para que un malware sea rentable, necesita sobrevivir a un reinicio del equipo. En macOS, existen varias rutas para lograr esta persistencia maliciosa. Una de las más habituales son los Login Items, que arrancan aplicaciones al iniciar sesión, o los Launch Agents y Daemons, que permiten ejecutar procesos en segundo plano con distintos niveles de privilegios.
También existen métodos más sofisticados como el abuso de librerías dinámicas (dylibs). Algunos atacantes fuerzan a programas legítimos a cargar librerías corruptas mediante variables de entorno, aunque Apple ha mitigado esto con el «hardened runtime». Sin embargo, si un usuario ha desactivado el SIP (System Integrity Protection), el camino queda totalmente abierto para que el malware se instale profundamente en el sistema.
Cómo blindar tu equipo y cuentas
Si sospechas que tu Mac ha sido infectado, no basta con pasar un antivirus. Es fundamental desconectar el dispositivo de la red y utilizar otro equipo limpio para cerrar todas las sesiones activas y cambiar las contraseñas. Si usas el Mac para trabajar, avisa inmediatamente a tu equipo de IT, ya que una sesión abierta de un panel administrativo puede dar al hacker un control total sobre la infraestructura de la empresa.
Para evitar estos sustos, lo ideal es limitar los derechos de administrador local y no ejecutar nunca comandos en la Terminal que no entiendas al cien por cien. Además, para cuentas críticas, no confíes solo en passkeys sincronizadas; el uso de llaves físicas de seguridad (como YubiKey) sigue siendo la barrera más robusta contra el robo de sesiones.
La seguridad en macOS depende hoy más que nunca de evitar la ejecución de scripts desconocidos y mantener una higiene estricta en los permisos del sistema, ya que el control remoto de sesiones activas representa un salto cualitativo en la peligrosidad del malware actual, transformando un simple robo de datos en una intrusión interactiva y en tiempo real.
