MacSync, un malware diseñado para robar información en macOS, ha regresado con un método de distribución más sofisticado. Esta versión se enfoca específicamente en usuarios de criptomonedas y desarrolladores. A diferencia de ataques anteriores, ahora utiliza archivos de imagen de disco maliciosos que se hacen pasar por aplicaciones legítimas para infectar los sistemas.

MacSync, un robador de información para macOS que cambia rápidamente, ha regresado con una cadena de entrega más compleja dirigida a personas que utilizan criptomonedas y herramientas de desarrollo.

En lugar de depender principalmente de un comando de Terminal pegado, la actividad más reciente comienza con archivos de imagen de disco maliciosos que se hacen pasar por aplicaciones reales. Los operadores pueden variar la entrega entre campañas.

Puedes encontrar el malware a través de software falso o crackeado, incluida una aplicación de billetera de criptomonedas inexistente llamada Toria.

Una vez abierta, la aplicación puede eliminar los atributos de cuarentena de macOS, obtener más código y, finalmente, instalar herramientas diseñadas para robar contraseñas, datos de billeteras y credenciales relacionadas con el trabajo. Los atacantes promocionaron la billetera inventada en las redes sociales.

Analistas de Securelist identificaron la nueva cadena en septiembre de 2026, señalando un cambio claro de una entrega basada en scripts a componentes compilados escritos en Swift y Objective-C.

Kaspersky dijo en un informe que el cambio hace que MacSync sea más flexible, al tiempo que ofrece a los atacantes más formas de ocultar su actividad tanto en Macs con Apple Silicon como en Intel. No todas las campañas de MacSync utilizan esta cadena.

El robo de sesiones de navegador, claves de la nube, configuraciones de SSH, datos de control de versiones y material de billeteras puede exponer cuentas personales y, potencialmente, dar a los criminales una ruta hacia entornos corporativos, como han mostrado informes anteriores sobre los ataques de instaladores falsos de MacSync. Los investigadores no publicaron un recuento de víctimas, por lo que la escala de las infecciones sigue siendo incierta.

El nuevo malware MacSync convierte las aplicaciones de macOS

La campaña comienza con un DMG malicioso que contiene un paquete de aplicación. En una ruta, ejecuta un script JXA compilado directamente en la memoria.

En otra, un cargador sigue a varios "droppers" antes de descargar los componentes finales, una evolución notable respecto al método de entrega anterior de ClickFix. Ambas rutas instalan herramientas de robo y de control remoto.

Un cargador recupera una dirección cifrada y, al menos en un caso, recupera un calendario público de iCloud. El evento oculta comandos en su descripción.

Esos comandos descargan un archivo que contiene otra aplicación, eliminan sus marcas de seguridad, añaden una firma ad-hoc y la ejecutan. El uso de un calendario público convierte una función de uso compartido ordinaria en un paso inesperado de entrega de malware.

Las etapas posteriores descifran un robador de información y una puerta trasera (backdoor). Archivos temporales y archivos de bloqueo ayudan a gestionar la ejecución, mientras que los módulos completados borran los registros y otros rastros.

MacSync también verifica si hay máquinas virtuales y bloquea los depuradores, lo que dificulta la investigación. También complican las comprobaciones en los dispositivos infectados.

El malware puede hacerse pasar por Finder y mantenerse activo a través de un LaunchAgent, configuraciones de inicio de ZSH y hooks globales de Git.

Su rutina de reparación restaura archivos y suprime las notificaciones de inicio. Esta persistencia es importante porque eliminar la primera aplicación maliciosa puede no poner fin a la intrusión.

Contraseñas, billeteras y datos de desarrolladores en riesgo

El robador basado en Swift solicita la contraseña de administrador a través de una ventana adaptada a la aplicación que está imitando. Después de que respondas, muestra una alerta falsa de aplicación dañada.

Verifica la contraseña a través de las interfaces de autenticación de macOS en lugar de un método antiguo de línea de comandos. La alerta hace que el fallo de instalación parezca rutinario.

Recopila el historial del navegador, cookies, inicios de sesión guardados, datos de extensiones de billeteras, archivos de Keychain, información de Telegram y detalles del dispositivo.

También busca archivos de configuración e historiales vinculados a SSH, ZSH, AWS, Kubernetes y Git, extendiendo su alcance a los flujos de trabajo de desarrollo de software. Tales archivos pueden contener detalles de acceso a servicios en la nube o repositorios, aumentando los riesgos más allá del Mac infectado.

La puerta trasera se comunica a través de HTTP y puede recibir comandos, cargar archivos, desplegar una extensión de navegador o reemplazar una billetera Ledger instalada con una versión maliciosa.

Su función de navegador en vivo puede permitir la interceptación del tráfico del navegador, aunque los investigadores no pudieron determinar el propósito preciso del asistente. Los investigadores no disponían de los scripts de comando en sí mismos.

Debes obtener software únicamente de sitios de desarrolladores verificados y evitar copias gratuitas o crackeadas. No debes omitir las advertencias de macOS, pegar comandos no verificados en la Terminal ni aprobar solicitudes de contraseña inesperadas.

Los equipos deberían investigar elementos de inicio desconocidos, hooks de Git alterados y cargas salientes sospechosas, aplicando las lecciones de la actividad de dominios rotativos de MacSync y el abuso de aplicaciones de macOS firmadas.

Si sospechas que has sido expuesto, aísla el Mac, revoca las sesiones y reemplaza las credenciales desde un dispositivo confiable. Revisar todos los puntos de persistencia es fundamental antes de volver a conectar el Mac a la red.

Fuentes:
https://cybersecuritynews.com/new-macsync-malware/