Activos de usuarios ya robados mientras una nueva variante de MacSync elude la seguridad de macOS
- El MacSync Stealer ha pasado de ser una variante ClickFix a un malware más sofisticado con firma digital, capaz de eludir las medidas de seguridad tradicionales de macOS.
- El malware descarga y ejecuta cargas útiles en silencio, lo que representa una amenaza significativa para los usuarios de macOS.
- Se ha informado a Apple sobre la ID del equipo de desarrollador utilizada para distribuir las cargas maliciosas.
Al revisar las detecciones de sus reglas YARA internas, Jamf Threat Labs afirma haber observado un extractor de datos firmado y notariado que no seguía las cadenas de ejecución típicas vistas en el pasado.
Según 23pds de Slowmist, este extractor es una nueva variante de la variante MacSync famosa por eludir la seguridad de macOS.
Slowmist afirma que la información del usuario ya ha sido robada
En una publicación en X, el Director de Seguridad de la Información de Slowmist, 23pds, afirmó que hay una nueva variante de MacSync que elude el sistema de seguridad del guardián de macOS, y que ya ha secuestrado la información de muchos usuarios.
Según 23pds, para evadir la detección, la variante emplea técnicas como la inflación de archivos, la verificación de conexiones de red y scripts de autodestrucción después de la ejecución. Según se informa, puede robar datos sensibles como llaveros de iCloud, contraseñas del navegador y billeteras de criptomonedas.
La advertencia vino acompañada de un blog de Jamf Threat Labs, que informaba que este no es su primer contacto con MacSync.
El malware extractor de información dirigido a macOS apareció por primera vez en abril de 2025 como «Mac.C», desarrollado por un actor de amenazas conocido como «Mentalpositive». Fue rebautizado como MacSync poco después, lo que le permitió ganar rápidamente tracción entre los cibercriminales.
Para protegerse, descargue aplicaciones solo desde la Mac App Store o sitios web de desarrolladores de confianza, mantenga su macOS y sus aplicaciones actualizados, utilice herramientas de seguridad antivirus/de extremo reputables que detecten amenazas de macOS y tenga cuidado con los archivos .dmg o instaladores inesperados, especialmente aquellos que prometen herramientas relacionadas con criptomonedas o mensajería.
¿Existe un nuevo malware MacSync?
Se informa que la muestra en cuestión se parecía mucho a las variantes anteriores del malware extractor MacSync, cada vez más activo, pero fue renovada en su diseño. Difería de las variantes anteriores de MacSync Stealer que dependían principalmente de técnicas de arrastrar al terminal o estilo ClickFix, ya que emplea un enfoque más engañoso y sin intervención manual.
Se informa que la muestra es entregó una aplicación Swift firmada y notariada dentro de una imagen de disco llamada zk-call-messenger-installer-3.9.2-lts.dmg, distribuida a través de https://zkcall.net/download.
Eso elimina la necesidad de cualquier interacción directa con el terminal. En su lugar, el dropper recupera un script codificado de un servidor remoto y lo ejecuta a través de un ejecutable auxiliar construido con Swift
Jamf Threat Labs también observó que el extractor de información Odyssey adoptó métodos de distribución similares en variantes recientes. Expresaron sorpresa de que la familiar instrucción de abrir con clic derecho aún esté presente en la nueva muestra, aunque el ejecutable esté firmado y no requiera este paso.
«Después de inspeccionar el binario Mach-O, que es una compilación universal, confirmamos que está firmado y notariado. La firma está asociada con el ID de Equipo de Desarrollador GNJLS3UYZ4», afirmaron.
Se aseguraron de verificar los hashes del directorio de código contra la lista de revocación de Apple y, en el momento del análisis, dijeron que ninguno había sido revocado.
Otra observación notable fue el tamaño inusualmente grande de la imagen de disco (25.5 MB), lo que según ellos parece estar inflado por archivos señuelo incrustados dentro del paquete de la aplicación.
En el momento del análisis, algunas de las muestras cargadas en VirusTotal fueron detectadas por solo un motor antivirus, mientras que otras fueron marcadas por hasta trece. Después de confirmar que el ID de Equipo de Desarrollador se utilizó para distribuir cargas maliciosas, Jamf Threat Labs lo reportó a Apple. Desde entonces, el certificado asociado ha sido revocado.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
