Los mejores análisis sobre criptomonedas directamente en tu bandeja de entrada.
El malware Reaper secuestra el Editor de scripts para vaciar monederos de criptomonedas en macOS
- Reaper es un programa espía para macOS que roba información y se propaga a través de páginas de descarga falsas de WeChat y Miro.
- El malware ataca monederos de criptomonedas como Ledger, Trezor y Exodus, contraseñas de navegador y documentos confidenciales.
- Esta es la tercera campaña en menos de dos meses que utiliza esta variante automatizada de ClickFix contra usuarios de Mac.
Un nuevo tipo de malware para Mac llamado Reaper se está propagando a través de páginas de descarga falsas de aplicaciones como WeChat y Miro. Una vez dentro del sistema, roba datos de monederos de criptomonedas y contraseñas guardadas del navegador.
Se trata de una versión más sofisticada de un truco antiguo que solía engañar a la gente para que pegaran comandos maliciosos en la Terminal. Apple corrigió esa vulnerabilidad en una actualización reciente de macOS, pero Reaper encontró la manera de sortearla, utilizando otra herramienta integrada de Apple para causar el mismo daño.
El editor de scripts reemplaza a la terminal como superficie de malware
Los sitios de descarga falsos activan el Editor de scripts a través de una URL de AppleScript applescript:// .
El código malicioso es invisible. Los atacantes lo ocultan mediante caracteres ASCII y espacios en blanco. Si un usuario pulsa el botón de reproducción en el editor de scripts, ejecuta comandos ocultos sin darse cuenta.
El editor de scripts viene preinstalado en todos los ordenadores Mac. La mayoría de la gente no se preocupa por los virus.
Los dominios typosquatting y las actualizaciones falsas de Apple generan confianza
El ataque comienza en dominios falsos que parecen legítimos para las posibles víctimas. Investigadores de seguridad descubrieron infraestructura alojada en dominios de Microsoft typosquatting, incluido mlcrosoft[.]co[.]com.
Una vez ejecutado el script, un cuadro de diálogo fraudulento de actualización de seguridad de Apple solicita a la víctima que introduzca la contraseña de su ordenador.
Reaper comprueba entonces la distribución del teclado del sistema. Si el teclado está configurado para el idioma ruso, el malware se detiene. De lo contrario, activa un módulo de robo de datos basado en el Atomic macOS Stealer (AMOS).
Las carteras de criptomonedas, los navegadores y los documentos son todos objetivos
Reaper ataca las aplicaciones de criptomonedas para escritorio, incluidas Ledger Live, Trezor Suite y Exodus. El malware modifica el código interno de las carteras de criptomonedas para interceptar transacciones futuras y redirigir los fondos.
El programa espía también robadentguardadas de Chrome, Firefox y Edge. Además, extrae datos de extensiones de navegador como 1Password y MetaMask.
Los archivos con .docx, .pdf, .xlsx, .wallety .keys que se encuentren en las carpetas Escritorio y Documentos se comprimen en bloques ZIP de 70 MB y se suben a un servidor externo de comando y control.
Para un ataque persistente, Reaper instala una puerta trasera disfrazada de directorio de actualización de software de Google.
Según el análisis de Moonlock, Reaper es la tercera campaña en aproximadamente dos meses que adopta este enfoque automatizado de AppleScript.
El equipo de investigación de seguridad Defender de Microsoft documentó un conjunto de campañas relacionadas que involucraban guías falsas de solución de problemas de macOS publicadas en Medium, Craft y Squarespace, sobre las cuales Cryptopolitan ya había informado.
Estas campañas utilizaron el mismo método de ClickFix para distribuir AMOS, Macsync y SHub Stealer mediante comandos de terminal. Según Cryptopolitan, las aplicaciones de billetera legítimas fueron eliminadas y reemplazadas silenciosamente por versiones maliciosas.
Verifica los enlaces de descarga antes de instalar cualquier programa nuevo. Si aparece una ventana emergente que te pide la contraseña de tu Mac, no la ingreses. Una buena herramienta de seguridad detectará los scripts ofuscados antes de que causen daños. Si un sitio web te pide que abras el Editor de scripts, cierra la pestaña.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Qué es el malware Reaper para macOS?
Reaper es una variante actualizada de SHub Stealer que utiliza el Editor de scripts de Apple para ejecutar código malicioso oculto. Busca monederos de criptomonedas,dentde navegador y documentos personales.
¿A qué monederos de criptomonedas apunta Reaper?
Reaper ataca las aplicaciones de escritorio Ledger Live, Trezor Suite y Exodus, así como extensiones de navegador como MetaMask y 1Password.
¿Cómo logra Reaper eludir las protecciones de la Terminal de macOS de Apple?
Reaper omite la terminal y utiliza un esquema de URL para abrir el editor de scripts. El código malicioso se oculta bajo la pantalla visible mediante espacios en blanco, y las víctimas lo ejecutan sin saberlo al hacer clic en reproducir.
Randa Moisés
Randa Moses es editora y reportera en Cryptopolitan donde cubre temas de tecnología, IA, robótica, criptomonedas, estafas y hackeos. Trabaja en el sector de las criptomonedas desde 2017 y ha ocupado cargos en Forward Protocol, AmaZix y Cryptosomniac. Randa es ingeniera eléctrica ytronpor la Universidad de Bradford.
- ¿Qué criptomonedas pueden hacerte ganar dinero?
- Cómo mejorar tu seguridad con una billetera (y cuáles realmente vale la pena usar)
- Estrategias de inversión poco conocidas que utilizan los profesionales
- Cómo empezar a invertir en criptomonedas (qué plataformas de intercambio usar, las mejores criptomonedas para comprar, etc.)