Un sofisticado infostealer para macOS conocido como MioLab —también rastreado como Nova— ha surgido como una de las plataformas de Malware-as-a-Service (MaaS) más avanzadas dirigidas a usuarios de Apple.

Anunciado en foros clandestinos de habla rusa, MioLab marca un cambio en el panorama de amenazas, demostrando que macOS ya no es un objetivo de bajo riesgo.

A medida que la cuota de mercado de Apple crece entre ingenieros de software, ejecutivos e inversores en criptomonedas, los atacantes ahora tratan a los Mac como superficies de ataque altamente rentables.

El malware utiliza un panel web fácil de usar y una carga útil en C ligera que compila a aproximadamente 100 KB. Este tamaño reducido ayuda a evadir la detección básica basada en firmas de los antivirus.

Es compatible con arquitecturas Intel x86-64 y Apple Silicon ARM64, funcionando en versiones de macOS desde Sierra hasta Tahoe.

Las capacidades de MioLab incluyen el robo de credenciales de navegadores, el vaciado de carteras de criptomonedas, la recolección de gestores de contraseñas y la recopilación de archivos. Un módulo adicional premium apunta a carteras de hardware como Ledger y Trezor, capaz de robar las frases de recuperación BIP39 de 24 palabras de una víctima.

Analistas de LevelBlue identificaron a MioLab como una amenaza en rápida evolución, destacando que su ritmo de desarrollo es inusualmente rápido para un infostealer.

Al revisar los registros de cambios hasta febrero de 2026, los investigadores confirmaron actualizaciones críticas, incluyendo un módulo reconstruido de extracción de carteras de hardware, el descifrado de Apple Notes en el dispositivo, un recolector de cookies de Safari funcional y una API completa para equipos.

Esta API permite a los equipos criminales generar cargas útiles y descargar registros robados de forma programática sin necesidad de iniciar sesión en el panel.

La plataforma también integra la vinculación de bots de Telegram para notificaciones en tiempo real de víctimas, sirviendo a afiliados cibercriminales organizados conocidos como *traffers*.

El análisis de la infraestructura reveló que los operadores de MioLab gestionan un ecosistema cibercriminal más amplio.

El panel de administración del malware estaba previamente alojado en playavalon[.]org, ahora redirigido para servir una campaña de phishing de airdrops de tokens Ethereum, convirtiendo el tráfico residual de indicadores antiguos en fraudes nuevos.

Entrega ClickFix: Ingeniería social a través del Terminal

Una de las adiciones más notables de MioLab es su cadena de infección ClickFix, una técnica que engaña a las víctimas para que ejecuten comandos maliciosos en su propio Terminal de macOS.

El panel incluye una utilidad de un solo clic donde los operadores ingresan sus credenciales del servidor, y el sistema genera al instante una carga útil para Terminal lista para desplegarse a través de páginas falsas de CAPTCHA o portales de desarrolladores clonados.

Poco antes de la publicación, el investigador Marcelo Rivero identificó una campaña activa de malvertising distribuyendo MioLab a través de un clon convincente del sitio de documentación de Claude Code, una herramienta de IA legítima de línea de comandos de Anthropic.

La campaña estaba diseñada con precisión para objetivos de alto valor: desarrolladores ya acostumbrados a ejecutar comandos en el Terminal.

El sitio clonado mostraba instrucciones de instalación completamente legítimas a los visitantes de Windows, pasando la inspección visual sin problemas.

Para los usuarios de macOS, sin embargo, entregaba una carga útil al estilo ClickFix. La primera etapa dependía de una URL enmascarada en Base64 que, una vez decodificada y ejecutada, lanzaba un cargador curl para obtener la carga útil Mach-O, colocarla en /tmp y ejecutar un comando xattr -c para eliminar el atributo de Cuarentena de Apple y eludir Gatekeeper.

Una vez pasado Gatekeeper, el malware cerraba las ventanas abiertas del Terminal y mostraba un falso cuadro de diálogo de contraseña de Preferencias del Sistema mediante AppleScript, engañando a los usuarios para que ingresaran sus credenciales de inicio de sesión.

La contraseña capturada se verificaba luego contra el servicio de directorio local usando la utilidad dscl.

Una vez confirmada, MioLab comenzaba a recolectar cookies de navegadores, contraseñas, archivos de carteras de criptomonedas, notas de Apple, datos de sesión de Telegram y documentos de las carpetas Escritorio y Descargas del usuario, antes de comprimir todo en un archivo ZIP y subirlo al servidor de comando y control del atacante.

Para defenderte de MioLab, los equipos de seguridad y los usuarios deben aplicar las siguientes medidas de protección.

Debes ser entrenado para cuestionar los mensajes inesperados de solicitud de contraseña de aplicaciones descargadas recientemente.

Los equipos de seguridad deben bloquear o monitorear utilidades sensibles del sistema —como dscl, osascript y system_profiler— cuando sean llamadas por aplicaciones sin firmar. El acceso a los directorios de perfiles de navegadores y al archivo del llavero de macOS login.keychain-db debe ser auditado estrictamente.

Debes bloquear dominios maliciosos conocidos, incluyendo socifiapp[.]com, y marcar e investigar cualquier solicitud curl POST sospechosa a APIs externas.