Atención a los usuarios de Mac: ¡Ataque a Claude y Google!

Una nueva campaña de información de macOS llamada MacSync es uno de los temas más hablados de la comunidad de seguridad cibernética en los últimos días. Tenga en cuenta que la razón de la retirada no es sólo para los usuarios de macOS. anuncios Google en el centro del ataque, falso Claud Hay hábitos de usuario que utilizan activamente páginas y herramientas de inteligencia artificial.

En particular, los desarrolladores, los fabricantes de contenidos y los equipos que incluyen herramientas de IA en el flujo de trabajo diario están dirigidos directamente. Debido a que el modelo de ataque se basa en la explotación de hábitos de comportamiento de una vulnerabilidad técnica. El usuario llama “Claude AI” en Google, ve el resultado patrocinado y hace clic pensando que es el sitio real. La página emergente parece el sitio oficial de Claude a primera vista. El archivo DMG descargado contiene un infostealer llamado MacSync.

El problema principal aquí es que la parte importante de los usuarios de macOS sigue moviéndose con el reflejo “no se transmite virus a Mac”. Sin embargo, en los últimos dos años, los ataques dirigidos de macOS han aumentado drásticamente en el sitio de malware especialmente sacudido de la información. Los grupos delictivos cibernéticos están viendo no sólo a los usuarios de Windows, sino a los usuarios de Mac orientados a la productividad como un objetivo principal.

¿Qué es MacSync y por qué habla cuánto?

MacSync básicamente es un MacOS Infostealer. Así que el propósito no es bloquear el dispositivo, interrumpir el sistema o encriptar archivos. Recopilar datos en silencio y acceder a la identidad digital del usuario.

La gran parte de los ataques modernos ya no se centra en jugar la contraseña directamente. Las sesiones del navegador se han vuelto mucho más valiosas que las credenciales registradas, los conmutadores de API y las fichas de autenticación. MacSync también funciona exactamente según este modelo. Específicamente, los perfiles de usuario están dirigidos:

Los desarrolladores que utilizan herramientas intensivas como Claude, Cursor, ChatGPT o Gemini, los equipos de SaaS que trabajan en el navegador, los usuarios que usan carteras criptométricas y los trabajadores técnicos que llevan la clave de API están entre los destinatarios principales de estos ataques. Porque la gran parte del acceso de la empresa en el diseño moderno del trabajo ya no es en el navegador guardado. SlackGitHub, NotionLa mayor parte del tiempo para acceder a plataformas como OpenAI o Google Workspace son suficiente sólo información activa de sesión. La razón para que MacSync se vuelva peligroso se revela aquí. El malware no sólo es contraseñas registradas; también puede apuntar las cookies del navegador, fichas de sesión, teclas SSH, acceso GitHub, datos de Keychain Apple e información de billetera cripto.

La filtración clave de API para los desarrolladores es ahora más crítica que la filtración clásica de contraseña. Debido a que muchas startups y la operación SaaS funciona directamente a través de estos interruptores.

¿Cómo funciona la cadena de ataque?

Aunque el modelo de ataque no parece complicado en términos técnicos, el lado de cuerda está bastante preparado profesionalmente. La cadena de phishing clásica se utiliza para manipular el comportamiento del usuario.

El proceso generalmente comienza con la búsqueda Google. Cuando el usuario llama “Claude AI” o similar, ve publicidad patrocinada en el momento superior. La publicidad conduce a un dominio falso que es muy similar al sitio real. El detalle crítico aquí es que la gente todavía acepta resultados patrocinados. En particular, cuando se trata de herramientas de IA, los usuarios no siempre se hacen porque quieren probar nuevas características rápidamente.

Las páginas falsas ya no parecen amateur como viejos ejemplos de phishing. Diseño de lenguaje, tipografía, diseño de buton y pantallas a bordo se preparan casi igual con productos reales. Esto reduce significativamente la percepción de fraude en el lado del usuario. Después de entrar en el sitio del usuario, se encuentra con un CTA como “Descargar la aplicación Mac”. Cuando el archivo DMG descargado se ejecuta, la alerta Gatekeeper se intenta pasar por alto, y el malware se establece en el sistema. Específicamente, los usuarios técnicos aumentan la tasa de éxito de atacar sus alertas de “desarrollador desconocido” continuamente manualmente.

¿Cómo eliminar la página Claude falso?

La mayor ventaja utilizada por los caracoles es ahora el reflejo de velocidad de los usuarios. La gente se mueve rápido para no perder nuevas características especialmente en las herramientas AI. Así que algunos controles básicos se vuelven críticos. Primer dominio realmente claude. Home o no controlado. Los ataques de cambio de cartas son muy utilizados en este punto. “cluade”, “claudee” o variaciones similares no se pueden notar fácilmente a primera vista. La etiqueta de publicidad patrocinada debe ser revisada. Debido a que la parte importante de los ataques se distribuye directamente a través de Google Ads. Otro detalle importante es el comportamiento de descarga. Claude requiere mayor atención a páginas que ejecutan archivo DMG aleatorio porque es un servicio de empleados basado en el navegador.

El certificado SSL no es ahora un indicador de seguridad. Hoy en día, la gran parte de los sitios de phishing está utilizando HTTPS.

Claude ¿Hay conexión de seguridad?

Aquí tiene que hacer la separación crítica derecha. El evento no significa hackear sistemas Anthropic directamente. Esto no se reporta una explotación de una infraestructura de backend verificada o Claude. Los problemas se experimentan en el lado de la falsificación y la impersonación de marca. La marca Saldurganlar Claude permite al usuario ejecutar y ejecutar archivos dañinos. La plataforma técnicamente objetivo no es el comportamiento del usuario. Sin embargo, el resultado no cambia en términos del usuario. El acceso a la cuenta puede ser capturado, se pueden jugar fichas de sesión y acceso a sistemas corporativos.

Campañas similares antes de ChatGPT, Midjourney, Notion, Cursor y Home También me vieron en plataformas. La alta popularidad de las herramientas de inteligencia artificial crea serias oportunidades de tráfico para los atacantes. En particular, los llamados como “desktop app”, “AI Assistant”, “pro version” o “plugin download” se han convertido en una de las zonas densas de los atacantes en el último período.

Google Anuncios Malvertising in Agenda

En los últimos años, el aumento serio de los ataques malvertidos. La razón principal de esto es el cambio de hábitos de usuario. La gente de la edad había escrito la URL directamente. Ahora la mayoría de los usuarios escriben su nombre de producto a Google y hacen clic en la primera conclusión. La diferencia entre el contenido patrocinado y el resultado orgánico se ignora en gran medida. Saldurganlar también apunta completamente a este comportamiento. Google Sistema de anuncios Como los atacantes permiten abrir anuncios en poco tiempo puede ejecutar la campaña a través de dominios temporales. Después de recoger tráfico dañino, el dominio está cerrado y el ataque continúa con el nuevo nombre de dominio.

En el lado de la ciberseguridad, este modelo se denomina “malvertización de tráfico y de funcionamiento”. Las herramientas de IA están entre los objetivos extra valiosos aquí. Debido a que los usuarios no se acostumbran a descargar el archivo técnico, no lo saquen de ejecutar DMG o EXE y a menudo utilizan el dispositivo autorizado de administración. Durante el último período, especialmente ChatGPT Desktop, Cursor AI Download, Midjourney PC, Gemini Pro y Claude La aplicación se observó campañas de ataque similares en búsqueda.

¿Cómo funciona la información MacOS Shrubers?

Modernos infostealers funcionan muy diferentes del viejo malware. El objetivo no es interrumpir el sistema, recopilar datos sin ser visibles tanto como sea posible. La prevalencia del modelo de trabajo basado en el navegador ha facilitado enormemente el trabajo de los atacantes. Debido a que muchos accesos críticos se guardan ahora en las sesiones del navegador. El robo de token de sesión se está convirtiendo en uno de los temas más críticos aquí.

Muchas plataformas no vuelven a entrar al usuario continuamente. Authentication token se almacena en el navegador y puede evitar la protección MFA incluso cuando el atacante accede a este token. Por eso no es suficiente cambiar la contraseña.

Slack, Notion, GitHub, OpenAI, Discord o Google Workspace puede significar acceso directo a los datos del navegador capturado ya que funciona a través de sesión activa. El procedimiento de seguridad real suele ser mucho más amplio. Procesos de sesión, limpieza de cookies, rotación de claves API, renovación de teclas SSH y reiniciar las conexiones OAuth.

Especialmente los desarrolladores a menudo olvidan cambiar sus conmutadores de API. Los principales datos valiosos en ataques modernos de Halbuki son las credenciales.

¿Por qué están en riesgo los desarrolladores?

Con el aumento de las herramientas de codificación AI, el flujo de trabajo diario de los desarrolladores se ha convertido en completamente basado en el navegador. Herramientas como Cursor, Claude Code, Copilot o Windsurf ahora se utiliza directamente como parte del oleoducto de desarrollo. Este perfil de usuario es muy valioso en términos agresivos. Debido a que en los dispositivos desarrolladores hay acceso a la producción, credenciales en la nube, teclas SSH, conexiones de repositorio GitHub y acceso a infraestructuras de pago.

Bir startup’un tüm operasyonel sistemi bazen tek geliştiricinin browser sessionı üzerinden yönetiliyor. Bu yüzden modern saldırı modeli artık doğrudan şirket altyapısını hacklemek yerine geliştirici cihazını ele geçirmeye odaklanıyor. Özellikle solo founder ekiplerinde veya küçük startup yapılarında bu risk çok daha büyük hale geliyor. Çünkü güvenlik katmanları genellikle bireysel cihaz seviyesinde kalıyor.

Türkiye’deki Kullanıcılar da Risk Altında mı?

Türkiye’deki kullanıcılar da bu saldırılardan doğrudan etkilenebilir durumda. Hatta bazı senaryolarda daha savunmasız oldukları bile söylenebilir. Özellikle AI araçlarına erişim konusunda yaşanan bölgesel kısıtlamalar kullanıcıları alternatif indirme yöntemlerine yöneltebiliyor. VPN kullanımı, unofficial desktop uygulamaları veya APK/DMG dosyaları bu noktada ciddi risk oluşturuyor.

YouTube üzerinden paylaşılan “Claude kurulum rehberi” veya “Desktop app download” videoları da saldırganlar tarafından yoğun şekilde kullanılabiliyor. MacOS tarafındaki güvenlik katmanları önemli koruma sağlasa da kullanıcı manuel override yaptığında zincir kırılıyor. Gatekeeper ve XProtect gibi sistemler birçok saldırıyı engellese bile kullanıcı bilinçli şekilde uyarıyı geçtiğinde koruma etkisi azalıyor. Özellikle teknik kullanıcıların sürekli warning bypass etmesi saldırı başarı oranını yükseltiyor.

Mac Kullanıcıları Kendini Nasıl Koruyabilir?

Burada temel mesele yalnızca antivirüs kullanmak değil. Davranış güvenliği çok daha önemli hale geliyor. AI araçları için sponsorlu reklamlardan indirme yapılmaması kritik önem taşıyor. Güvenilir servisler mümkün olduğunca bookmark üzerinden açılmalı ve domain kontrolü alışkanlık haline getirilmeli. Browser içine parola kaydetmek yerine password manager kullanılması risk yüzeyini azaltabiliyor. Passkey desteği olan servislerde ise mümkün olduğunca passkey tercih edilmesi gerekiyor.

İş ve kişisel kullanım için ayrı browser profilleri oluşturmak da olası bir compromise durumunda zararın yayılmasını sınırlandırabiliyor.

No es suficiente eliminar la aplicación sólo si sospecha que el dispositivo está infectado. La terminación de todas las sesiones activas es necesaria para cambiar contraseñas de cuentas críticas, renovar los conmutadores de API y rotar las teclas SSH. Es crítico que los usuarios que usan billetera cripto se mueven rápido. Debido a que los infostealers modernos pueden apuntar directamente carteras basadas en la extensión del navegador.

¿Cómo cambian los ataques cibernéticos populares?

En los últimos dos años, una categoría de ataque completamente nueva se forma en el lado de la ciberseguridad. Los usuarios que utilizan herramientas de inteligencia artificial se ven ahora como perfil objetivo de alto valor. Debido a que estos usuarios suelen tener conocimientos técnicos, trabajando intensamente con los servicios de SaaS, pagando y enfocando productivamente a los usuarios. Esto significa un modelo objetivo de retorno muy alto en términos de saldurgan.

Títulos como “nueva salida de modelo”, “Desktop app lanzado” o “Claude plugin” crean seria curiosidad en el lado del usuario. Esto aumenta la tasa de éxito de las campañas de phishing.

En el próximo período, especialmente aplicaciones falsas de escritorio AI, ataques de extensión del navegador, herramientas de agente de inteligencia artificial falsa y ataques de emergencia de código abierto se espera que se vean más a menudo. A medida que crece el ecosistema de IA, la superficie de ataque también se expande. La percepción de “gloss” que continúa durante mucho tiempo en el lado macOS ya no se refleja en el hecho. Uno de los objetivos más valiosos para las ofensivas de hoy es que el empleado basado en el navegador y todo el flujo de producción se han convertido en usuarios de Mac que se ejecutan a través de herramientas de inteligencia artificial.