Así funciona AMOS, el malware que está atacando a usuarios de Mac

Durante años, los usuarios de Mac han vivido con la idea de que los ciberdelincuentes prefieren atacar equipos con Windows. Aunque macOS sigue siendo considerado un sistema seguro, los investigadores de Sophos advierten que los atacantes están desarrollando cada vez más herramientas específicamente diseñadas para el ecosistema de Apple.

Una de ellas es AMOS (Atomic macOS Stealer), un malware especializado en el robo de información que ha ganado popularidad entre grupos criminales debido a su capacidad para obtener credenciales, datos financieros y accesos a cuentas personales y corporativas.

¿Cómo llega AMOS a una Mac?

A diferencia de otras amenazas que aprovechan vulnerabilidades del sistema operativo, AMOS suele apoyarse en algo más simple: el engaño.

Los atacantes crean sitios web falsos, anuncios fraudulentos o mensajes que simulan provenir de empresas legítimas. En ellos, convencen a la víctima de copiar y ejecutar comandos en la Terminal de macOS bajo el pretexto de instalar una actualización, verificar una cuenta, solucionar un error o acceder a una aplicación.

Al ejecutar esos comandos, el propio usuario termina autorizando la descarga e instalación del malware sin darse cuenta.

Esta técnica, conocida como ClickFix, se ha vuelto cada vez más popular porque evita que los ciberdelincuentes tengan que explotar fallas técnicas complejas. En cambio, se aprovechan de la confianza y la curiosidad de las personas.

¿Qué información puede robar?

Una vez instalado, AMOS comienza a buscar datos de valor almacenados en el equipo.

Entre la información que puede recopilar se encuentran:

Contraseñas guardadas en el Llavero (Keychain) de Apple.
Credenciales almacenadas en navegadores como Chrome, Firefox y Edge.
Cookies de sesión que podrían permitir a los atacantes acceder a cuentas sin necesidad de conocer la contraseña.
Datos de autocompletado, incluyendo direcciones, correos electrónicos y métodos de pago.
Información almacenada en aplicaciones de notas.
Datos relacionados con billeteras de criptomonedas.

Para los ciberdelincuentes, esta información representa una puerta de entrada a servicios bancarios, plataformas de trabajo, redes sociales y sistemas corporativos.

¿Por qué los usuarios de Mac están en la mira?

Los especialistas en ciberseguridad explican que los equipos Apple se han vuelto más atractivos para los atacantes debido a su creciente presencia en empresas, startups y perfiles profesionales con acceso a información sensible.

Además, muchos usuarios mantienen la percepción de que «las Mac no tienen virus», lo que puede llevarlos a bajar la guardia frente a correos, anuncios o sitios sospechosos.

En la práctica, los ciberdelincuentes no distinguen entre sistemas operativos: buscan cualquier dispositivo que almacene credenciales, información financiera o accesos a organizaciones.

Cómo protegerse

Ante el crecimiento de este tipo de amenazas, Sophos recomienda:

Nunca copiar y ejecutar comandos en la Terminal si provienen de sitios web, anuncios o mensajes no verificados.
Descargar aplicaciones únicamente desde fuentes oficiales y desarrolladores confiables.
Mantener macOS y todas las aplicaciones actualizadas.
Activar la autenticación multifactor (MFA) en servicios críticos.
Revisar cuidadosamente cualquier solicitud de instalación o permisos administrativos.
Utilizar herramientas de protección capaces de detectar comportamientos maliciosos y robo de credenciales.

La principal lección detrás de AMOS es que la seguridad ya no depende únicamente del sistema operativo. En muchos casos, el objetivo de los atacantes no es vulnerar una Mac, sino convencer a su usuario de abrirles la puerta.

Consulta la investigación completa en: https://www.sophos.com/es-es/blog/why-amos-matters-the-macos-malware-stealing-data-at-scale