{"id":1603,"date":"2026-07-16T15:34:54","date_gmt":"2026-07-16T15:34:54","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/16\/el-nuevo-clicklock-macos-stealer-elimina-aplicaciones-cada-210-ms-hasta-que-las-victimas-escriben-su-contrasena-cyberdefensa-mx\/"},"modified":"2026-07-16T15:34:54","modified_gmt":"2026-07-16T15:34:54","slug":"el-nuevo-clicklock-macos-stealer-elimina-aplicaciones-cada-210-ms-hasta-que-las-victimas-escriben-su-contrasena-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/16\/el-nuevo-clicklock-macos-stealer-elimina-aplicaciones-cada-210-ms-hasta-que-las-victimas-escriben-su-contrasena-cyberdefensa-mx\/","title":{"rendered":"El nuevo ClickLock macOS Stealer elimina aplicaciones cada 210 ms hasta que las v\u00edctimas escriben su contrase\u00f1a \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Ladr\u00f3n de ClickLocks<\/strong>un nuevo ladr\u00f3n de informaci\u00f3n de macOS, responde a la negativa de una v\u00edctima eliminando sus aplicaciones en bucle hasta que entreguen la contrase\u00f1a de inicio de sesi\u00f3n. Llega como un comando pegado en la Terminal, solicita la contrase\u00f1a detr\u00e1s de un cuadro de di\u00e1logo falso del sistema y, cuando la v\u00edctima cancela, instala dos LaunchAgents y sale silenciosamente.<\/p>\n

En el siguiente inicio de sesi\u00f3n, Finder, Dock, Spotlight, Terminal, Activity Monitor y los principales navegadores comienzan a morir cada 210 milisegundos, durante hasta 83 horas, dejando un cuadro de contrase\u00f1a en un escritorio inactivo. Escr\u00edbalo y la m\u00e1quina entregar\u00e1 el llavero, las credenciales del navegador y las billeteras criptogr\u00e1ficas.<\/p>\n

Grupo IB telemetria<\/a> cuenta al menos 100 objetivos en 33 pa\u00edses desde mayo, m\u00e1s de la mitad de ellos en Europa. Por la estructura del c\u00f3digo, sus analistas suponen que el malware a\u00fan est\u00e1 en desarrollo. Subido a VirusTotal el 9 de junio, el gui\u00f3n del orquestador ten\u00eda cero detecciones<\/a> all\u00ed cuando el Grupo IB lo analiz\u00f3.<\/p>\n

Y los analistas nunca encontraron la puerta de entrada. Tienen toda la cadena de carga \u00fatil y ni una sola de las p\u00e1ginas de se\u00f1uelos. La lista del COI incluye tres hosts de carga \u00fatil comprometidos y ning\u00fan dominio atractivo: el dise\u00f1o de la p\u00e1gina de destino, los dominios que la sirven y todo lo que dirige el tr\u00e1fico hacia ellos no est\u00e1n confirmados.<\/p>\n

Una ejecuci\u00f3n completa deja al operador con la contrase\u00f1a de inicio de sesi\u00f3n validada de macOS, la clave AES de almacenamiento seguro de Chrome y un ZIP con las credenciales del navegador y las cookies, el almacenamiento de la extensi\u00f3n de la billetera criptogr\u00e1fica, los archivos de la billetera de escritorio, las b\u00f3vedas del administrador de contrase\u00f1as, el llavero, el historial del shell y las credenciales guardadas del servidor de FileZilla.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La clave de Almacenamiento Seguro es la que perdura. Cifra las contrase\u00f1as y cookies guardadas de Chrome en el disco, por lo que Login Data<\/code> y Cookies<\/code> se descifran fuera de l\u00ednea, en la m\u00e1quina del atacante, cada vez que acceden a ella. El consejo de Group-IB para cualquiera que haya ejecutado esto: revocar las sesiones activas del navegador, tratar todas las contrase\u00f1as, cookies y claves de billetera guardadas como desaparecidas y cambiarlas.<\/p>\n

Cumpla ahora o cumpla en el pr\u00f3ximo inicio de sesi\u00f3n<\/h2>\n

El usuario que se niega no es un caso extremo. Para ellos es el dise\u00f1o. Cancele el primer di\u00e1logo y el script desaparecer\u00e1. com.authirity.plist<\/code> y com.chromer.plist<\/code> en ~\/Library\/LaunchAgents\/<\/code>luego se va.<\/p>\n

El primero activa el bucle de interrupci\u00f3n de 210 milisegundos hasta que llega una contrase\u00f1a. El segundo lanza su propio bucle de interrupci\u00f3n en intervalos de 0,2 segundos durante hasta 3.000.000 de segundos, aproximadamente 34,7 d\u00edas, mientras que un proceso en segundo plano consulta el llavero para la clave de almacenamiento seguro de Chrome cada medio segundo.<\/p>\n

\"\"<\/a><\/div>\n

Esa consulta genera un mensaje real de macOS y el bucle mantiene el escritorio como reh\u00e9n hasta que la v\u00edctima lo aprueba. Activity Monitor y Terminal est\u00e1n en ambas listas de eliminaci\u00f3n. Un tercer bucle desactiva NotificationCenter durante seis horas, por lo que no se genera ninguna advertencia de Gatekeeper. Si Terminal carece de acceso total al disco, el orquestador abre Configuraci\u00f3n del sistema en el panel derecho y gu\u00eda a la v\u00edctima para otorgarlo.<\/p>\n

La parte delantera es Hacer clic en arreglar<\/a>. Group-IB eval\u00faa esto con gran confianza y nunca lo ha visto. El gui\u00f3n toma un RAY_ID<\/code> como primer argumento y se abre con un banner CAPTCHA falso de Cloudflare sobre una barra de progreso que recorre doce l\u00edneas de estado en diez segundos. Tampoco nada. Existen para tranquilizar a alguien que acaba de pegar un comando en una terminal.<\/p>\n

Debajo, script.sh<\/code> desactiva las interrupciones del teclado, oculta el cursor y extrae cuatro cargas \u00fatiles de dos sitios comprometidos. Dos tubos directos al bash. Dos aterrizan en un lugar escondido. $HOME\/.cacheb\/<\/code>. La pregunta suave es una osascript<\/code> cuadro de di\u00e1logo que lleva un \u00edcono de Apple descargado y el nombre de usuario real de la v\u00edctima, y \u200b\u200btodo lo que se escribe se compara con dscl \/Local\/Default -authonly<\/code> primero, por lo que solo vale la pena enviar una contrase\u00f1a que funcione.<\/p>\n

Casi nada de eso es nuevo. microsoft documentado<\/a> lo mismo dscl<\/code> validaci\u00f3n en SHub Stealer en mayo, junto con AMOS y MacSync en la misma ola de campa\u00f1as macOS ClickFix. La persistencia de Telegram exfil y LaunchAgent son repetitivas.<\/p>\n

La puerta trasera, goyim<\/strong>es aproximadamente el 80 por ciento una copia del script de implementaci\u00f3n p\u00fablica para GSocket<\/a>un conjunto de herramientas de creaci\u00f3n de t\u00faneles de c\u00f3digo abierto de The Hacker’s Choice. Sus autores plantean el gs-netcat<\/code> componente como una puerta trasera inversa cifrada que no necesita un servidor C2 propio. En su lugar, monta un relevo.<\/p>\n

Group-IB rastre\u00f3 esta copia hasta un repetidor de operador en gsnc[.]eu:67<\/code>con el binario extra\u00eddo del propio gsocket.io. Las cargas \u00fatiles del ladr\u00f3n se encuentran en tres dominios comprometidos con reputaciones limpias, uno de ellos un sitio de WordPress pirateado, y el bot\u00edn sale a trav\u00e9s de tres robots de Telegram. El Grupo IB no observ\u00f3 ninguna infraestructura dedicada de mando y control.<\/p>\n

\"\"<\/a><\/div>\n

En macOS, el binario aparece como iCloud<\/code> en ~\/Library\/Application Support\/iCloudsync<\/code> y el proceso se ejecuta como SystemUIServerl<\/code>una letra menos que la real.<\/p>\n

Apple ya intent\u00f3 cerrar esta puerta<\/h2>\n

macOS 26.4 se envi\u00f3 a finales de marzo. Advierte cuando Terminal ve actividad de pegado sospechosa y bloquea directamente cualquier cosa que reconozca como malware conocido, una mitigaci\u00f3n que Microsoft se\u00f1ala como una respuesta directa a la entrega de ClickFix.<\/p>\n

La propia documentaci\u00f3n de Apple.<\/a> muestra cu\u00e1nto espacio queda: la advertencia solo se activa si no usa Terminal con regularidad y se env\u00eda con un bot\u00f3n Pegar de todos modos. El bloque duro necesita que macOS ya conozca el malware.<\/p>\n

Dos campa\u00f1as pasaron por esa sala en cuesti\u00f3n de semanas, en direcciones opuestas. Laboratorios de amenazas de Jamf documentado en abril<\/a> que evita la pasta por completo, utilizando un applescript:\/\/<\/code> URL para abrir Script Editor con la carga \u00fatil precargada, para que la verificaci\u00f3n nunca se active. Thijs Xhaflaire, de Jamf, escribi\u00f3 que \u00abcuando una puerta se cierra, los atacantes encuentran otra\u00bb. ClickLock es el otro. En su lugar, mantuvo la pasta y dise\u00f1\u00f3 alrededor de la persona.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El ciclo de coerci\u00f3n es la \u00fanica parte que no tiene argumento de cobertura. Group-IB no cubre en el subsegundo pkill<\/code> y killall<\/code> ataca Finder, Dock, SystemUIServer y NotificationCenter: \u00abeste comportamiento es exclusivo del malware de interacci\u00f3n forzada y no tiene un caso de uso leg\u00edtimo\u00bb.<\/p>\n

El resto del conjunto de se\u00f1ales:<\/p>\n