El malware Reaper secuestra el Editor de Script para vaciar carteras de criptomonedas en macOS

Un nuevo tipo de malware para Mac llamado Reaper se está propagando a través de páginas de descarga falsas para aplicaciones como WeChat y Miro. Una vez que se introduce, roba datos de billeteras cripto y contraseñas de navegador guardadas.

Es una versión más inteligente de un truco antiguo que solía engañar a las personas para que pegaran comandos maliciosos en Terminal. Apple parcheó ese agujero en una actualización reciente de macOS, pero Reaper encontró una manera de eludirla, utilizando una herramienta integrada diferente de Apple para hacer el mismo daño.

Script Editor reemplaza a Terminal como la superficie del malware

Los sitios de descarga falsos activan Script Editor a través de un AppleScript applescript:// URL.

El código malicioso es invisible. Los atacantes lo ocultan usando arte ASCII y espacios en blanco. Si un usuario hace clic en el botón de reproducción en Script Editor, ejecuta comandos ocultos sin saberlo.

Script Editor viene preinstalado con cada computadora Mac. La mayoría de las personas no relacionan esto con virus.

Dominios con typosquatting y actualizaciones falsas de Apple generan confianza

El ataque comienza en dominios falsos que parecen legítimos para las víctimas potenciales. Los investigadores de seguridad descubrieron infraestructura alojada en dominios de Microsoft con typosquatting, incluyendo mlcrosoft[.]co[.]com.

Una vez que el script se ejecuta, un cuadro de diálogo de actualización de seguridad falsa de Apple solicita a la víctima que ingrese su contraseña de computadora.

Reaper luego verifica el diseño del teclado del sistema. Si el teclado está configurado para el idioma ruso, el malware se detiene. Si no, el malware activa un módulo de robo de datos modelado en el Atomic macOS Stealer (AMOS).

Las billeteras cripto, los navegadores y los documentos son todos objetivos

Reaper ataca aplicaciones de escritorio cripto, incluidas Ledger Live, Trezor Suite y Exodus. El malware modifica el código interno de las billeteras cripto para interceptar transacciones futuras y redirigir fondos.

El ladrón también recopila credenciales guardadas de Chrome, Firefox y Edge. Extrae datos de extensiones de navegador como 1Password y MetaMask también.

Archivos con .docx, .pdf, .xlsx, .wallet, y .keys extensiones encontradas en las carpetas Escritorio y Documentos se comprimen en fragmentos ZIP de 70 MB y se cargan en un servidor externo de comando y control.

Para un ataque persistente, Reaper instala una puerta trasera disfrazada como un directorio de Google Software Update.

Reaper es la tercera campaña en aproximadamente dos meses en adoptar este enfoque automatizado de AppleScript, según el análisis de Moonlock.

El equipo de Investigación de Seguridad de Microsoft documentó un conjunto relacionado de campañas que involucraban guías falsas de solución de problemas de macOS publicadas en Medium, Craft y Squarespace, que Cryptopolitan previamente informó.

Esas campañas utilizaron el mismo enfoque ClickFix para entregar AMOS, Macsync y SHub Stealer a través de comandos de Terminal. Las aplicaciones de billetera genuinas fueron eliminadas y silenciosamente reemplazadas por versiones maliciosas, según Cryptopolitan.

Verifique dos veces los enlaces de descarga antes de instalar cualquier cosa nueva. Si una ventana emergente solicita inesperadamente su contraseña de Mac, no la ingrese. Una buena herramienta de seguridad detectará scripts ofuscados antes de que causen daño. Si un sitio web alguna vez le dice que abra Script Editor, cierre la pestaña.