Agencias
Un nuevo malware dirigido a computadoras Mac encendió las alertas de especialistas en ciberseguridad debido a su capacidad para robar información personal sin levantar sospechas, al presentarse como una aplicación legítima firmada y notariada por Apple.
La amenaza, identificada como MacSync Stealer, logra instalarse en los equipos sin que el usuario detecte señales claras de riesgo, según información publicada por Excelsior.
De acuerdo con un análisis de Jamf Threat Labs, esta variante representa una evolución en el malware para macOS, ya que elimina interacciones sospechosas con el usuario y aprovecha los propios mecanismos de confianza del sistema operativo.
¿Qué es MacSync Stealer y por qué es más peligroso?
MacSync Stealer es un malware de tipo infostealer, diseñado para robar información sensible. A diferencia de versiones anteriores, que requerían que la víctima copiara y pegara código malicioso, la versión más reciente se disfraza como una aplicación confiable, como un supuesto servicio de mensajería o sincronización.
Este cambio lo vuelve más efectivo, ya que reduce la probabilidad de que el usuario sospeche durante la instalación y el primer uso.
Cómo logra evadir los filtros de seguridad de Apple
En una primera fase, el malware se ejecuta como una aplicación desarrollada en Swift, el lenguaje de programación oficial de Apple. Además, cuenta con:
•Firma digital válida
•ID de desarrollador
•Notarización por Apple
Estas características le permiten superar los controles iniciales de seguridad de macOS, como Gatekeeper, y ejecutarse sin advertencias visibles.
La aplicación se distribuye dentro de una imagen de disco de gran tamaño (25.5 MB) que, según Jamf Threat Labs, “parece estar inflada con archivos señuelo incrustados en el paquete”, una técnica utilizada para ocultar su verdadera función maliciosa.
La segunda fase: cuándo inicia el robo de información
Una vez instalada, la aplicación analiza el entorno del equipo, incluida la conexión a internet, para verificar si puede comunicarse con un servidor externo. Si las condiciones son favorables, descarga e instala el código malicioso real en una segunda fase.
Es a partir de ese momento cuando comienza el robo silencioso de información, sin que el usuario perciba un comportamiento anómalo inmediato.
“Este cambio refleja una tendencia creciente en el malware para macOS, donde los atacantes buscan introducir su código en aplicaciones firmadas y notariadas para simular legitimidad y reducir las probabilidades de detección”, advirtieron analistas de Jamf Threat Labs.
Apple revoca certificados tras el reporte
Tras recibir el informe de la empresa de ciberseguridad, Apple revocó la certificación del ID de desarrollador asociado con MacSync Stealer. Además, la compañía actualizó sus sistemas internos de protección:
• XProtect
• Gatekeeper
Ambos mecanismos bloquean automáticamente la ejecución de este tipo de aplicaciones en versiones recientes de macOS.
Aumentan los infostealers en computadoras Mac
Jamf Threat Labs documentó un incremento sostenido de malware tipo infostealer en macOS durante 2024, con más de 20 familias activas enfocadas en el robo de:
• Credenciales de acceso
• Cookies de navegación
• Datos de tarjetas bancarias
• Carteras de criptomonedas
En el caso específico de MacSync Stealer, los analistas confirmaron que puede extraer información de navegadores como Safari, Chrome y Firefox, así como datos almacenados en el Keychain (llavero) de macOS.
