Anuncios de Google explotados para distribuir malware en macOS mediante sitio falso de Brew.sh

La percepción de seguridad del ecosistema macOS está siendo atacada directamente por una nueva y astuta campaña de publicidad maliciosa (malvertising) que utiliza como arma la propia plataforma de anuncios de Google. Investigadores de seguridad han descubierto una operación en la que actores de amenazas compran anuncios en Google dirigidos a usuarios que buscan el sitio web legítimo del gestor de paquetes Homebrew, brew.sh. Este ataque marca un cambio preocupante en las tácticas, que van más allá del phishing por correo electrónico para comprometer a los usuarios en el mismo momento en que buscan software de confianza.

La cadena de ataque es engañosamente simple pero muy efectiva. Cuando un usuario busca 'brew.sh' o términos relacionados, un anuncio malicioso, que a menudo aparece como el primer resultado, lo dirige no al sitio genuino, sino a un dominio con error tipográfico (typosquatting): brewe.sh. Esta diferencia de un solo carácter es fácil de pasar por alto, especialmente cuando el enlace se presenta dentro de la interfaz de confianza de los Anuncios de Google. El sitio fraudulento es una réplica casi perfecta de la página oficial de Homebrew, meticulosamente elaborada para no levantar sospechas.

Aquí, los atacantes despliegan una técnica de ingeniería social conocida como 'ClickFix'. Antes de mostrar cualquier supuesta descarga, el sitio presenta a los usuarios un desafío CAPTCHA. Este paso cumple un doble propósito psicológico: aporta un aire de legitimidad (implicando que hay medidas de seguridad) y crea una sensación de inversión por parte del usuario. Una vez que el usuario resuelve el CAPTCHA, el sitio lo recompensa no con un instalador estándar, sino con un bloque de texto destinado a ser copiado y pegado directamente en la Terminal de macOS.

El comando proporcionado es la carga maliciosa. Se trata de un script bash que, al ejecutarse, descarga y ejecuta un binario malicioso desde un servidor remoto controlado por los atacantes. Este binario ha sido identificado como una nueva familia de malware robador de información denominada 'Infiniti Stealer'.

Análisis Técnico del Infiniti Stealer
Una vez instalado, Infiniti Stealer opera con un mandato amplio de recolección de datos. Sus capacidades están diseñadas para extraer el máximo valor de un Mac infectado:

• Robo de Credenciales: Se dirige a navegadores como Chrome, Safari, Firefox y Edge, extrayendo credenciales de inicio de sesión guardadas, cookies y datos de autocompletado.
• Enfoque en Criptomonedas: El malware busca activamente y exfiltra archivos de carteras de criptomonedas y frases semilla relacionadas, un claro indicador de motivación financiera.
• Espionaje del Sistema: Recopila información detallada del sistema, incluyendo especificaciones de hardware, aplicaciones instaladas y procesos activos, que pueden usarse para un targeting posterior o venderse en foros de cibercriminales.
• Exfiltración de Archivos: Puede configurarse para buscar y robar tipos específicos de documentos de los directorios del usuario.

El uso de Anuncios de Google como vector inicial es particularmente insidioso. Elude las defensas tradicionales basadas en red y explota la confianza inherente que los usuarios depositan en los resultados de los motores de búsqueda. La campaña subraya una vulnerabilidad crítica en la cadena de suministro de publicidad digital, donde los procesos de verificación pueden ser burlados por adversarios determinados.

Implicaciones para la Comunidad de Ciberseguridad
Esta campaña es una llamada de atención por varias razones. En primer lugar, significa la continua maduración de la economía del malware dirigido a macOS. El desarrollo y despliegue de un stealer dedicado como Infiniti Stealer indica un mercado objetivo rentable. En segundo lugar, demuestra una profesionalización de los métodos de ataque, combinando compras precisas de anuncios, sitios clon convincentes e ingeniería social avanzada (ClickFix) en una canalización de infección perfecta.

Para los equipos de seguridad empresarial, especialmente aquellos en entornos de sistemas operativos mixtos o con políticas BYOD (Trae Tu Propio Dispositivo), esto subraya la necesidad de extender la búsqueda de amenazas (threat hunting) y la formación en concienciación de usuarios a los endpoints con macOS. La suposición de que los Mac son inmunes a las campañas de malware generalizadas está peligrosamente desactualizada.

Recomendaciones de Mitigación

1. Educación del Usuario: Formar a los usuarios para que sean escépticos con los anuncios, incluso en Google. Animarles a buscar la pequeña etiqueta 'Anuncio' y a escribir manualmente las URL conocidas o usar marcadores para herramientas críticas.
2. Bloqueadores de Anuncios y Herramientas de Seguridad: Considerar el uso de bloqueadores de anuncios reputados y servicios de filtrado DNS que puedan bloquear dominios maliciosos conocidos como 'brewe.sh'.
3. Protección de Endpoints: Asegurar que todos los dispositivos macOS estén protegidos por soluciones avanzadas de detección y respuesta en endpoints (EDR) capaces de identificar y bloquear la ejecución de scripts sospechosos y binarios desconocidos.
4. Vigilancia con la Terminal: Instaurar un principio de seguridad: nunca copiar y ejecutar un comando de la Terminal desde un sitio web no confiable sin entender su función.

La fusión de malvertising, typosquatting e ingeniería social en esta campaña representa un vector de amenaza potente. Mientras la publicidad digital siga siendo un canal de infección viable, tanto los usuarios individuales como las organizaciones deben ajustar sus posturas defensivas, reconociendo que las amenazas pueden originarse en los rincones de internet aparentemente más legítimos.