Un nuevo malware ladrón de información llamado MonetaStealer ha sido descubierto atacando activamente a usuarios de macOS mediante disfraces de archivos engañosos y tácticas de ingeniería social. Investigadores de seguridad de Iru identificaron esta amenaza por primera vez el 6 de enero de 2026, cuando encontraron un binario Mach-O sospechoso que se hacía pasar por un archivo ejecutable de Windows llamado Portfolio_Review.exe.

Se ha descubierto un nuevo malware robador de información llamado MonetaStealer, que está atacando activamente a usuarios de macOS mediante disfraces de archivos engañosos y tácticas de ingeniería social.

Investigadores de seguridad de Iru identificaron esta amenaza por primera vez el 6 de enero de 2026, cuando encontraron un binario Mach-O sospechoso que se hacía pasar por un archivo ejecutable de Windows llamado Portfolio_Review.exe.

El malware representa una preocupación creciente para los usuarios de Mac, especialmente aquellos en industrias profesionales que reciben con frecuencia archivos de portafolios de candidatos potenciales o colaboradores.

MonetaStealer está diseñado para extraer información sensible de sistemas macOS infectados, incluyendo contraseñas de navegadores, datos de carteras de criptomonedas, credenciales de Wi-Fi, claves SSH y documentos financieros.

El malware contiene código que verifica específicamente sistemas macOS usando la comprobación if sys.platform != 'darwin', asegurando que solo se ejecute en dispositivos Apple.

Lo que hace que esta amenaza sea particularmente interesante es su gran dependencia de código generado mediante herramientas de aprendizaje automático, lo que los investigadores creen que indica que el malware aún se encuentra en fases tempranas de desarrollo.

A pesar de su naturaleza incompleta, MonetaStealer mantiene una tasa de detección cero en VirusTotal en el momento de su descubrimiento, lo que lo hace invisible para la mayoría de soluciones de seguridad.

Los analistas de Sequence identificaron portfolio_app.pyc como la carga principal oculta dentro del binario compilado con PyInstaller.

Este malware basado en Python incrusta su lógica maliciosa dentro de una estructura CArchive comprimida que evade escáneres básicos de archivos estáticos.

La decompilación del código reveló comentarios en ruso y sin ofuscación, lo que sugiere que el desarrollador priorizó la funcionalidad sobre el sigilo.

El malware muestra un banner que dice “PROFESSIONAL MACOS STEALER v2.0” durante su ejecución, junto con mensajes de impresión que rastrean su progreso a través de varios módulos de robo de datos.

Robo de datos del navegador Chrome

MonetaStealer apunta específicamente a los datos del navegador Google Chrome creando copias temporales de bases de datos SQLite para evitar bloqueos de archivos.

El malware ejecuta el comando security find-generic-password -w -a "Chrome" para recuperar la clave maestra en Base64 almacenada en el llavero de macOS, necesaria para descifrar las contraseñas guardadas.

Esta operación activa una solicitud del sistema que pide la contraseña del llavero del usuario, lo que podría alertar a víctimas observadoras. Una vez concedido el acceso, el malware consulta credenciales de inicio de sesión, cookies de sesión e historial de navegación mediante comandos SQL específicos.

El módulo de robo de cookies aplica un filtrado por palabras clave para identificar objetivos de alto valor buscando términos como “bank”, “crypto”, “exchange” y “paypal” dentro de los nombres de host de las cookies.

Este enfoque selectivo permite al malware priorizar sesiones de plataformas financieras y de criptomonedas. El siguiente código demuestra cómo MonetaStealer procesa las cookies robadas:

print('[+] Robando cookies de Chrome...')
try:
    host, name, path, encrypted_value = row
    if any((keyword in host.lower() for keyword in ['bank', 'crypto',
'exchange', 'paypal'])) and self.stolen_data['browser']['cookies'].append({'host':
host, 'name': name, 'path': path}):
        pass
    conn.close()
except Exception as e:
    print (f' X Error: {e}')

El malware también recopila el historial de navegación extrayendo URLs, títulos de páginas y frecuencias de visita de la base de datos History de Chrome.

Esta información puede revelar los intereses del usuario, servicios visitados con frecuencia y posibles objetivos adicionales para ataques posteriores.

Todos los datos recopilados del navegador se estructuran en el diccionario de almacenamiento interno del malware para su posterior exfiltración a través de una infraestructura de bot de Telegram identificada como “b746_mac_collector_bot” con el ID de bot 8384579537.