Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium investiga una campaña de malware que utiliza software pirateado para distribuir el Atomic macOS Stealer (AMOS). A continuación, el equipo analiza TAG-150, un actor malicioso en rápida evolución que está utilizando malware personalizado en sofisticadas operaciones de phishing y de acceso remoto. Por último, concluimos con una visión general de la campaña de malware «GPUGate», dirigida contra empresas de TI de Europa Occidental.
La campaña del programa malicioso AMOS Stealer tiene como objetivo el sistema operativo macOS
Trend Micro ha analizado recientemente , una campaña de malware que utiliza software pirateado para distribuir AMOS y sustraer datos confidenciales de los usuarios, entre los que se incluyen credenciales, carteras de criptomonedas y archivos del sistema.
Según Trend Micro, los atacantes utilizan comandos engañosos de la Terminal de macOS y dominios rotativos para eludir las medidas de seguridad y mantener su presencia en los sistemas infectados.
Resumen de la campaña AMOS
En esta campaña, los atacantes están dirigiendo sus ataques a los usuarios de macOS mediante aplicaciones falsas o «pirateadas». Se engaña a las víctimas para que descarguen un instalador de la aplicación deseada, que a su vez introduce el malware AMOS.
En algunos casos, se pide a los usuarios que copien y peguen comandos directamente en su terminal para activar el malware. Trend Micro señala que estos atacantes utilizan direcciones URL y dominios que van cambiando, de modo que tanto el dominio como el comando de descarga varían en cada visita para eludir la detección.
Cadena de infección y administración de AMOS
- El atacante consigue acceder al sistema a través de descargas de aplicaciones falsas que, en última instancia, dirigen a la víctima a la página de destino de AMOS.
- La víctima verá una opción denominada «descargar para macOS» o unas instrucciones para ejecutar un comando. En cualquiera de los dos casos, se ejecuta un script de instalación malicioso.
- Este script descarga un archivo de AppleScript y configura un LaunchDaemon para que ejecute el script de forma continua hasta que el usuario inicie sesión.
- Cuando el usuario inicia sesión, el archivo binario oculto se ejecuta para establecer la persistencia. Este script recopilará datos, entre los que se incluyen el nombre de usuario y la contraseña, datos del navegador, datos del llavero y mucho más, los comprimirá en un archivo ZIP y los extraerá del sistema.
Conclusiones extraídas del MDR
El equipo de Detección y Respuesta Gestionadas (MDR) de Trend Micro observó la secuencia de acontecimientos, que comenzó con una actividad sospechosa de un proceso, seguida de acciones destinadas al robo de credenciales y la exfiltración de datos. Esto permitió llevar a cabo una investigación más exhaustiva.
La primera alerta que detectaron se refería a la extracción de datos de inicio de sesión de los navegadores web, concretamente a la copia del archivo SQLite de datos de inicio de sesión de Chrome, en el que se almacenan las credenciales. La segunda alerta se refería a un script diseñado para sustraer datos, entre ellos credenciales de navegación y archivos de los navegadores más habituales. Además, se recopiló información del perfilador del sistema.
Acceso inicial
Trend Micro determinó que AMOS se instaló en el dispositivo a través de la descarga de software pirateado, ya que muchos de los usuarios afectados habían visitado en múltiples ocasiones el mismo sitio web, que alojaba diversas aplicaciones de software falsas diseñadas específicamente para macOS.
Los usuarios afectados habían buscado y descargado «CleanMyMac» en sus ordenadores. Al hacer clic en el botón de descarga, los usuarios eran redirigidos a la página de inicio de AMOS. Tras hacer clic, los usuarios eran redirigidos, y el destino de la redirección variaba en cada visita, al igual que la URL incluida en el comando.
Cómo instalan AMOS las víctimas
Las víctimas disponen de dos formas de instalar AMOS. El primer método consiste en hacer clic en el botón de descarga, lo que hará que se descargue un archivo .dmg junto con las instrucciones de instalación. El otro método consiste en pedir a la víctima que copie, pegue y ejecute un comando malicioso.
- En el primer método, se descarga el archivo « Installer_v.2.13.dmg» y cambia el número de versión. El archivo muestra instrucciones para que la víctima haga clic con el botón derecho del ratón y lo abra. Trend Micro señala que, en este caso, Gatekeeper intervino debido a la versión de macOS que se estaba ejecutando, bloqueando el malware antes de que pudiera completar su ataque.
- El segundo método, « », que presenta una mayor tasa de éxito, solicita a las víctimas que ejecuten un comando directamente. Al ejecutar esto, se instala AMOS en el equipo. A continuación, se muestra a la víctima un cuadro de «Preferencias del sistema» en el que se le pide que introduzca su contraseña repetidamente hasta que introduzca la contraseña correcta. A continuación, un script adicional comprobará si se está ejecutando en un entorno virtualizado y, de ser así, se cerrará. Tras estas comprobaciones, el malware extraerá datos, establecerá su persistencia, ocultará las ventanas del terminal y manipulará los archivos y las aplicaciones del sistema.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El uso de software pirateado como vector de ataque nos recuerda que los autores de las amenazas suelen aprovecharse de la comodidad, por lo que resulta fundamental que las organizaciones supervisen y restrinjan el acceso a los repositorios de software no autorizados.
Las amplias capacidades de robo de datos del malware AMOS reflejan una tendencia creciente en el malware dirigido a macOS. Además, el uso por parte de los atacantes de dominios rotativos y scripts ofuscados pone de manifiesto un alto nivel de agilidad operativa, lo que hace que la detección tradicional basada en firmas resulte insuficiente y resalta el valor de la detección de amenazas basada en el comportamiento.
TAG-150 distribuye el nuevo malware CastleRAT
Un informe reciente de Recorded Future ofrece información detallada sobre TAG-150, un actor malicioso en rápida evolución. Este actor ha desarrollado una infraestructura de varios niveles y un conjunto de programas maliciosos personalizados, entre los que se incluye el recientemente descubierto CastleRAT, para llevar a cabo sofisticadas operaciones de phishing y de acceso remoto.
Tal y como explica Record Future, sus campañas recurren a tácticas engañosas y a un amplio conjunto de herramientas para atacar a sus víctimas, al tiempo que se adaptan de forma activa a la exposición pública y a las medidas defensivas.
¿Quién es TAG-150?
Recorded Future utiliza el código TAG-150 para referirse al actor vinculado al «desarrollo y uso de las familias de malware CastleLoader, CastleBot y, más recientemente, CastleRAT».
Recorded Future lleva observando el TAG-150 desde el March 2025. Según su investigación, muchas de las infecciones se inician mediante ataques del tipo « » al estilo ClickFix o mediante repositorios falsos de GitHub que se hacen pasar por aplicaciones legítimas. Se cree que el grupo utiliza un modelo de «malware como servicio» (MaaS) para distribuir una serie de cargas útiles de segunda fase.
Análisis de la infraestructura del TAG-150
Recorded Future ha dado a conocer detalles sobre la infraestructura de varios niveles del actor:
- Nivel 1: La infraestructura de nivel 1 contiene varios servidores C2 destinados a diferentes familias de malware, como CastleLoader, CastleRAT y otras. Estos servidores se gestionan a través de los servidores Tier 2 .
- Nivel 2: El Nivel 2 está compuesto por servidores VPS que, según se cree, actúan «como intermediarios entre los servidores del Nivel 1, que dan servicio a las víctimas, y la infraestructura del Nivel 3 ». Se sabe que el actor accede a estos servidores a través de RDP antes de conectarse a los servidores de nivel 1. En numerosas ocasiones, Recorded Future observó que el actor eludía el Nivel 2 y se conectaba a los servidores del Nivel 1 desde la infraestructura del Nivel 3 .
- Nivel 3: En el nivel 3, los investigadores identificaron servidores VPS que utilizaban todos el mismo certificado TLS, y uno de ellos probablemente actuaba como centro de distribución. Asimismo, identificaron una dirección IP residencial rusa que se comunicaba con servidores tanto del Nivel 1 como del Nivel 2, lo que, en su opinión, podría ser obra de un segundo operador.
- Nivel 4: El servidor principal del Nivel 3 se comunica con un posible servidor de respaldo del Nivel 4. La comunicación se produjo a través de una «sesión UDP persistente de puerto alto a puerto alto que se prolongó durante varias semanas».
Las variantes en Python y C de CastleRAT
El malware CastleRAT cuenta tanto con una variante en Python como con una en C. Ambas variantes utilizan un protocolo binario personalizado, consultan una API de geolocalización, descargan archivos ejecutables y ofrecen funciones de shell remoto.
Según Recorded Future, la variante C del malware incluye un registrador de teclas, un capturador de texto, funciones para realizar capturas de pantalla, manipulación de archivos, comandos de shell y otras capacidades.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
TAG-150’s . La agilidad operativa se pone de manifiesto en la rápida evolución de su malware y en la adaptación de su infraestructura, lo que sugiere que el grupo cuenta con abundantes recursos y una gran capacidad técnica.
El uso que hacen de una infraestructura de varios niveles y de malware personalizado, como CastleRAT, refleja un cambio de las herramientas genéricas a soluciones a medida, lo que podría indicar que este grupo está madurando.
GPUGate se dirige a las empresas de TI de Europa Occidental
Según Arctic Wolf, la campaña de malware «GPUGate» está utilizando anuncios de Google Ads y enlaces de commit de GitHub para engañar a los profesionales de TI y que descarguen un instalador de GitHub Desktop infectado con un troyano que se activa exclusivamente en sistemas con GPU reales, eludiendo así la detección tradicional mediante entornos de pruebas.
El análisis de Arctic Wolf también pone de manifiesto técnicas avanzadas de evasión. Los atacantes dominan el ruso como lengua materna y tienen como objetivo Europa Occidental, aplicando un enfoque muy selectivo y sigiloso.
Vector de infección inicial de GPUGate
El ataque comienza con publicidad maliciosa, mediante un anuncio patrocinado de Google que aparece en la parte superior de los resultados de búsqueda de Google y que parece el sitio web legítimo de GitHub Desktop.
El actor realizó una modificación en un repositorio legítimo de GitHub y, a continuación, modificó el archivo README para que incluyera enlaces de descarga maliciosos. Arctic Wolf señala que un atacante podría insertar el hash malicioso en la URL de la página, de modo que se muestre una página idéntica al repositorio original, pero con el archivo README que contiene los enlaces maliciosos.
La página muestra datos legítimos, ya que la transacción es real, lo que dificulta que las víctimas la identifiquen como maliciosa. «El único indicio de que la página muestra una vista de una única confirmación es un pequeño banner en la parte superior en el que se indica que el visitante está viendo una confirmación concreta, en lugar de la rama predeterminada del repositorio». El atacante va un paso más allá añadiendo un enlace de referencia al enlace, de modo que se dirige a la víctima a la parte inferior de la página de confirmación, donde se encuentra el contenido malicioso.
Los enlaces de descarga maliciosos redirigen a la víctima desde GitHub a una página maliciosa de gitpage[.]app.
Segunda fase: GitHubDesktopSetup-x64.exe
El malware se descarga con el nombre de GitHubDesktopSetup-x64.exe. El archivo es de gran tamaño para que se parezca al instalador real de GitHub Desktop.
El creador del malware también modificó el encabezado del mismo para impedir la extracción de archivos. El archivo MSI contiene 171 archivos ejecutables, la mayoría de los cuales son archivos inofensivos destinados a dificultar el análisis. Sin embargo, Arctic Wolf señala que al menos uno de ellos es malicioso.
El malware realizará comprobaciones para excluir los dispositivos que no cumplan los requisitos de hardware que haya establecido. Una de estas comprobaciones se centra en la longitud del nombre del dispositivo, ya que las máquinas virtuales suelen tener nombres más cortos o genéricos, mientras que las GPU legítimas suelen tener nombres más largos.
Características de GPUGate
Arctic Wolf destaca algunas de las características más destacadas de GPUGate:
- Para una ejecución discreta, : PowerShell se iniciará con determinados parámetros para ocultar las ventanas al usuario y eludir las políticas de ejecución.
- Para garantizar la persistencia, crea una tarea programada que se ejecuta al reiniciar el sistema.
- Para eludir la detección, excluirá del análisis las ubicaciones en las que se almacena el malware Defender, de modo que sus componentes maliciosos no sean identificados.
- En el caso de C2, , se utilizan varios dominios y direcciones IP redundantes, por lo que puede seguir funcionando aunque se bloquee uno de ellos.
El malware recopila y extrae datos confidenciales de los sistemas de archivos locales. Arctic Wolf señala que GPUGate podría ser capaz de instalar ransomware y eliminar los archivos de copia de seguridad, así como las opciones de recuperación del sistema.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Al exigir una GPU real para el descifrado, GPUGate marca un giro hacia el malware sensible al entorno, lo que hace que el sandboxing tradicional y el análisis automatizado resulten mucho menos eficaces.
Esta campaña no solo se dirige a sistemas equipados con GPU, sino también a usuarios que probablemente dispongan de privilegios elevados. Esto implica un cierto grado de análisis previo al ataque, que podría formar parte de una estrategia de ataque más amplia.
Durante su investigación, Arctic Wolf observó que uno de los sitios web controlados por los atacantes también alojaba el programa de robo de datos AMOS para macOS, ,. La posible relación con AMOS aumenta la gravedad de esta amenaza.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
