Un solo comando en la Terminal instala Phexia en un Mac: la contraseña del equipo se obtiene en menos de un minuto

Un Mac se puede infectar con un solo comando en «Terminal», y la dirección del servidor de los atacantes la encuentra el malware en la cadena de bloques. Los especialistas de WithSecure descubrieron que el backdoor Phexia roba contraseñas y datos de navegadores en macOS, y para comunicarse con los operadores recurre a un contrato inteligente de Polygon. Ese mecanismo permite cambiar el servidor de control sin actualizar el código malicioso en el equipo infectado.

Phexia opera al menos desde finales de 2025, y desde comienzos de 2026 WithSecure observa un aumento en el número de infecciones. En los casos conocidos, el ataque comenzaba con el esquema ClickFix. Una verificación o instrucción falsa convencía al usuario de pegar un comando que descargaba un script mediante curl y lo ejecutaba con bash. Para la mayoría de las infecciones no se pudieron identificar sitios señuelo concretos.

El script ejecutaba AppleScript y creaba una tarea LaunchAgent que reanudaba automáticamente el funcionamiento del malware. El cargador se almacenaba dentro de la configuración de la tarea en forma codificada, sin un archivo legible separado. En las compilaciones de octubre el nombre de la tarea comenzaba con com.Apple, para parecer un componente de macOS y no llamar la atención.

Desde mayo de 2026 los operadores experimentaron obtener direcciones a través de Polygon, y desde mediados de junio ya aplicaron el esquema en ataques. Phexia solicita al contrato inteligente el dominio del servidor de mando mediante nodos públicos de la cadena de bloques. La técnica se denomina EtherHiding. Basta cambiar el valor en el contrato para que nuevas conexiones vayan a otro servidor, incluso si se bloqueó el dominio antiguo.

Del 14 de junio al 22 de octubre las consultas apuntaron a un contrato de Polygon, y el 27 de octubre apareció una compilación con otro contrato. En ese periodo WithSecure identificó 14 dominios de mando. Además, los Mac infectados no siempre cambiaban inmediatamente a la nueva dirección. Los servidores antiguos recibieron solicitudes durante semanas, y una reinfección a veces dejaba dos versiones activas de Phexia en un mismo equipo.

El backdoor comprobaba la contraseña de la cuenta de macOS con el comando del sistema dscl y guardaba la opción correcta en un archivo oculto. En casos aislados se conseguía la contraseña en menos de un minuto, a veces tras ocho minutos. Las comprobaciones también se reanudaban aproximadamente 22 horas después de la infección. La contraseña se pasaba como argumento del proceso y podía quedar en los registros de las herramientas de seguridad.

Los módulos de Phexia recopilaban perfiles de Chrome, Edge y otros navegadores, el llavero de macOS, datos de las extensiones LastPass y NordPass, así como cookies de Safari. Para acceder al archivo protegido de Safari se usaba Finder. La información se archivaba y enviaba a dos servidores, incluido mediante HTTP sin cifrar. Se confirmó la búsqueda de monederos de criptomonedas instalados, pero no se confirmó el robo de sus contenidos.

Además del robo de datos, los atacantes ejecutaban en los Mac infectados un minero XMRig para extraer Monero. Los comandos reinstalaban el programa y cambiaban los pools de minería. WithSecure recomienda revisar LaunchAgent sospechosos y las solicitudes de los scripts a Polygon. Si se confirma la infección, es necesario eliminar todas las tareas maliciosas y cambiar las contraseñas desde un dispositivo no comprometido.