Los analistas de la firma de ciberseguridad Kaspersky detectan una versión avanzada del infostealer para macOS conocido como MacSync. El código malicioso, identificado originalmente entre 2024 y 2025 como un derivado de la familia AMOS, evoluciona hacia una arquitectura más compleja que compromete credenciales de acceso, archivos de sistema y activos en criptomonedas de los usuarios corporativos. Según detalla el informe técnico de Kaspersky, esta última variante —identificada en septiembre de 2026— abandona los esquemas tradicionales de infección para desplegar de forma conjunta dos componentes de alto riesgo: un infostealer especializado y un backdoor con acceso remoto. La combinación de ambas piezas pone en jaque la confidencialidad de los dispositivos Apple en el entorno empresarial. El vector de entrada del ciberataque comienza cuando el usuario descarga un ejecutable malicioso camuflado bajo la apariencia de software legítimo, como utilidades para compartir documentos o aplicaciones de billeteras de criptomonedas. Durante la secuencia de descarga, los atacantes emplean mecanismos alternativos para distribuir la carga útil; en determinados casos, las secuencias maliciosas se alojan en entradas públicas de calendarios de iCloud en formato `.ics`. Una vez en ejecución, la variante MacSync simula ser la aplicación original que el usuario pretendía instalar y solicita la contraseña de administrador del sistema. Tras obtener el permiso, el malware despliega una notificación falsa indicando que la aplicación está “dañada” y sugiere moverla a la papelera, una técnica de ingeniería social diseñada para desorientar a la víctima mientras la amenaza actúa en segundo plano. El componente infostealer extrae de forma sistemática el historial de navegación, las cookies y las credenciales guardadas en navegadores web, así como la información de carpetas de Telegram y el archivo Keychain del sistema operativo. Asimismo, el programa recopila la lista de aplicaciones instaladas, el modelo de hardware, la configuración de archivos SSH y ZSH, y los datos de acceso guardados en billeteras digitales. A la par del robo de información, el segundo componente clave de MacSync actúa como un backdoor persistente que suplanta el proceso legítimo del Finder de macOS. Esta puerta trasera concede a los ciberdelincuentes capacidad para manipular a distancia el entorno del usuario y desplegar código arbitrario en el equipo infectado. Entre las acciones maliciosas detectadas por Kaspersky, los atacantes pueden instalar complementos modificados en el navegador para interceptar carteras digitales o reemplazar la aplicación oficial de la billetera de criptomonedas Ledger por un clon malicioso. Esta táctica facilita la sustracción directa de activos y la exfiltración de archivos específicos alojados en la memoria del dispositivo. La complejidad técnica de esta amenaza exige reforzar los protocolos de verificación de software en las organizaciones que operan con equipos macOS, donde la elevación de privilegios de administración constituye el eje de la infección. “La nueva versión descubierta del infostealer MacSync presenta diferencias significativas respecto a sus versiones anteriores, ya que incorpora nuevas funcionalidades y hace que la cadena de infección sea más compleja”, explica Sergey Puzan, experto en seguridad de Kaspersky. “Los actores de amenazas también están desarrollando activamente técnicas de ingeniería social como vía de acceso inicial, por lo que es importante extremar la vigilancia al instalar aplicaciones y verificar su procedencia. La contraseña de administrador es la clave que protege los datos más sensibles del dispositivo”, enfatiza el especialista. Las soluciones de ciberseguridad de Kaspersky ya detectan y bloquean de forma automática todas las amenazas asociadas a la familia de malware MacSync.
También lo cubren: Silicon (España).
Ver más en News Today