Un sofisticado malware para macOS llamado MacSync ha surgido como una nueva y peligrosa amenaza dirigida a usuarios de criptomonedas mediante tácticas engañosas de ingeniería social.

Este infostealer opera como una herramienta de Malware-as-a-Service asequible, diseñada para robar datos sensibles de sistemas macOS convenciendo a las víctimas de pegar un solo comando en su aplicación Terminal.

Investigadores de seguridad descubrieron MacSync mientras analizaban infraestructuras de phishing que imitaban páginas de inicio de sesión de Microsoft.

El ataque redirige a los usuarios a una página falsa de instalación de almacenamiento en la nube que muestra instrucciones paso a paso para completar la instalación usando Terminal.

El malware representa una evolución del anterior Mac.c stealer y ha ganado popularidad entre ciberdelincuentes debido a su bajo precio y diseño modular, enfocado en el robo de datos relacionados con criptomonedas.

El proceso de infección explota la confianza de los usuarios en los flujos de instalación estándar de macOS. Las víctimas encuentran una página de destino convincente, diseñada para parecerse a software legítimo, con lenguaje tranquilizador e incluso un distintivo de “Editor Verificado”.

Un simple comando de una línea copiado al portapapeles activa todo el compromiso, eludiendo por completo las protecciones de seguridad de macOS como Gatekeeper y las comprobaciones de notarización de código que bloquearían paquetes de aplicaciones tradicionales.

Analistas de CloudSEK identificaron y analizaron la cadena completa de infección, descubriendo el mecanismo de ataque en múltiples etapas de MacSync, que opera completamente mediante scripts en lugar de binarios compilados.

El malware primero descarga un cargador en Zsh demonizado que se desvincula de la sesión de Terminal y se ejecuta silenciosamente en segundo plano. Este cargador luego obtiene y ejecuta una carga útil remota en AppleScript que contiene la funcionalidad principal de robo de datos.

El mecanismo de infección y la estrategia de recolección de datos

El objetivo principal de MacSync se centra en extraer datos relacionados con criptomonedas mediante un enfoque altamente dirigido.

Una vez ejecutado, el malware muestra repetidamente cuadros de diálogo falsos del sistema que exigen la contraseña de inicio de sesión de la víctima bajo el pretexto de una verificación del sistema.

Esta táctica de ingeniería social resulta notablemente efectiva, ya que los cuadros de diálogo persistentes terminan por vencer la resistencia del usuario.

Tras obtener la contraseña, MacSync recolecta sistemáticamente perfiles de navegadores como Chrome, Brave, Edge, Opera y otros basados en Chromium, extrayendo contraseñas guardadas y cookies de autenticación.

El infostealer apunta específicamente a docenas de extensiones de navegador para carteras de criptomonedas, identificando sus directorios de instalación y copiando frases semilla y claves privadas. Aplicaciones de carteras de escritorio como Exodus, Electrum y Bitcoin Core reciben un tratamiento similar.

El malware además roba claves SSH, credenciales de AWS, bases de datos de Keychain y notas de Apple que contienen información sensible.

Para mantener acceso a largo plazo, MacSync troyaniza condicionalmente aplicaciones de carteras de hardware como Ledger y Trezor cuando las detecta en sistemas infectados.

El malware sobrescribe componentes críticos de las aplicaciones y reemplaza software legítimo con versiones maliciosas que muestran asistentes de phishing convincentes, capturando PINs y frases de recuperación semanas o meses después de la infección inicial.

La infraestructura de soporte utiliza al menos ocho dominios C2 rotativos que siguen patrones de nomenclatura consistentes, con múltiples páginas señuelo variantes que indican una evolución activa de la campaña.

Esta reutilización de infraestructura y diseño modular demuestran que MacSync representa una operación escalable y en curso, dirigida a la comunidad de criptomonedas en macOS mediante tácticas engañosas de ingeniería social.