Los usuarios de macOS se enfrentan a una amenaza sofisticada llamada “Reaper”, una variante del malware robador de información SHub. Este software malicioso logra mantener el acceso persistente en los equipos infectados mediante la instalación de un falso agente de actualización de software de Google, ocultándose bajo la identidad de marcas confiables para evitar ser detectado.

Los usuarios de macOS se enfrentan a una amenaza nueva y sofisticada, ya que se ha observado una variante del malware infostealer SHub, apodada "Reaper", desplegando un LaunchAgent falso de actualización de software de Google para mantener un acceso persistente en las máquinas infectadas.

El malware permanece oculto tomando prestada la identidad de marcas en las que los usuarios ya confían, lo que hace que sea excepcionalmente difícil de detectar sin herramientas de seguridad dedicadas.

Lo que hace que Reaper sea especialmente peligroso es cómo cambia su disfraz en cada etapa de la cadena de infección. Una víctima puede encontrarse con un instalador falso de una aplicación conocida como WeChat o Miro, entregado a través de un dominio con errores tipográficos (typo-squatting) que suplanta la infraestructura de Microsoft.

La carga útil se ejecuta entonces bajo la apariencia de una actualización de seguridad de Apple, y la persistencia se oculta dentro de un directorio que imita el propio sistema de actualización de software de Google. Tres marcas tecnológicas reconocidas mundialmente son explotadas dentro de una sola cadena de ataque.

Investigadores de SentinelOne identificaron y analizaron esta nueva variante de Reaper, señalándola como una continuación de la familia más amplia de malware SHub que ha crecido significativamente en los últimos dos años.

SentinelOne dijo en un informe compartido con Cyber Security News (CSN) que el malware "utiliza instaladores falsos de WeChat y Miro como señuelos" y que la cadena de infección cambia su disfraz en cada etapa. El equipo confirmó que la campaña está alojada en un dominio de Microsoft con errores tipográficos y utiliza AppleScript para evadir los métodos de detección estándar.

Una vez que engañan al usuario para que ejecute el instalador falso, el malware utiliza AppleScript para entregar el script de shell inicial en lugar de depender de la ingeniería social estándar de ClickFix.

Actualización de software falsa de Google

Esta variante evita completamente la mitigación de la Terminal de Apple al rutear la ejecución a través del Editor de Scripts. El comando malicioso se construye dinámicamente y se rellena con cadenas codificadas en base64, manteniéndolo oculto debajo de la parte visible de la ventana del Editor de Scripts.

Reaper verifica la configuración local de la víctima consultando el archivo com.apple.HIToolbox.plist para detectar fuentes de entrada en idioma ruso.

Si el host parece estar en una región de la Comunidad de Estados Independientes, el malware envía un evento cis_blocked a su servidor de comando y control y se cierra.

De lo contrario, recupera un segundo AppleScript que contiene la lógica de extracción central y lo ejecuta en memoria a través de osascript, sin tocar nunca directamente el disco local.

Antes de finalizar su ejecución inicial, Reaper establece persistencia utilizando una estructura de directorios construida para imitar el servicio legítimo de actualización Keystone de Google.

Coloca un script de bash decodificado en base64 llamado GoogleUpdate dentro de ~/Library/Application Support/Google/GoogleUpdate.app/Contents/MacOS/, y luego registra un LaunchAgent utilizando una lista de propiedades llamada com.google.keystone.agent.plist. Esto hace que el script se ejecute silenciosamente cada 60 segundos en segundo plano.

Cada vez que se activa el LaunchAgent, el script envía los detalles del sistema al endpoint /api/bot/heartbeat del atacante.

Si el servidor devuelve una carga útil de "código", el script la decodifica, la escribe en /tmp/.c.sh, la ejecuta con los privilegios del usuario actual y luego la elimina. Esto le da al atacante un canal de ejecución remota persistente y sin rastro en la máquina comprometida.

Robo de Datos y Medidas Anti-Análisis

Reaper incluye una rutina FileGrabber que escanea las carpetas de Escritorio y Documentos en busca de archivos que probablemente tengan valor comercial o financiero.

Se dirige a extensiones como .docx, .wallet, .key, .json y .rdp, junto con imágenes de menos de 1 MB y documentos de menos de 5 MB, limitando la colección total a 100 MB.

Los archivos se preparan en /tmp/shub_random/ antes de dividirse en fragmentos de 10 MB y subirse al servidor del atacante a través de curl.

El malware también se dirige a aplicaciones de escritorio de criptomonedas, incluyendo Exodus, Atomic, Ledger Live y Trezor Suite, mientras recolecta credenciales del navegador y pulsaciones de teclado de desarrolladores.

Anula las funciones de la consola y ejecuta un bucle de depurador continuo para obstruir el análisis de seguridad. Si un investigador abre las DevTools, la página reemplaza su contenido con un mensaje de acceso denegado en idioma ruso.

SentinelOne te aconseja evitar la ejecución de scripts de sitios web que afirmen que se requiere una actualización de seguridad manual, ya que Apple nunca pide a los usuarios que abran el Editor de Scripts y ejecuten comandos.

Debes verificar las URL cuidadosamente y descargar software únicamente desde sitios oficiales de desarrolladores o de la Mac App Store.

Quienes defiendan los sistemas deben estar atentos a la actividad inesperada de AppleScript, conexiones salientes inusuales después de que se ejecute el Editor de Scripts y nuevos LaunchAgents en espacios de nombres vinculados a proveedores de software confiables.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.