Mac se enfrenta a una nueva amenaza: un falso software de Apple roba contraseñas con un instalador notarizado

Jamf, empresa especializada en la seguridad del ecosistema Apple, ha detectado en 2024 una nueva amenaza para macOS. Se hace pasar por software legítimo de Apple y está pensada para robar contraseñas, datos del navegador, monederos de criptomonedas y otros archivos sensibles. La campaña ha sido bautizada como CrashStealer y, según la investigación de Jamf, vuelve a poner a los usuarios de Mac en el centro del objetivo.

Hay un detalle especialmente inquietante: los atacantes no tiraron de un engaño chapucero. De acuerdo con Jamf, la campaña usó un instalador notarizado por Apple, así que la aplicación podía pasar las comprobaciones de Gatekeeper y aparecer ante la víctima como algo confiable. Cuando la detectó, Jamf comunicó a Apple el identificador de desarrollador que se había usado en la operación.

Ya dentro del sistema, el malware intenta confundirse con el propio entorno de macOS. El análisis de Jamf explica que se hace pasar por CrashReporter, un proceso legítimo del sistema operativo. Ese disfraz le sirve para pasar más desapercibido mientras recoge información del equipo infectado.

¿Y qué busca exactamente? Según Jamf, CrashStealer está preparado para sacar datos del llavero de macOS, bases de datos del navegador, credenciales guardadas, archivos sensibles y monederos de criptomonedas. No va a por el Mac para romperlo o bloquearlo. Va a por lo que guarda dentro.

La distribución, siempre según Jamf, se lleva a cabo mediante un dropper llamado Werkbit, presentado como si fuera una herramienta de colaboración o de reuniones. La aplicación se ofrecía desde una web convincente, aunque creada hacía poco, una señal bastante típica en campañas maliciosas de este tipo.

Y había otra capa más. La descarga estaba protegida con PIN, un detalle que, según el análisis de Jamf, apunta a una operación más controlada de lo normal: reduce la exposición pública, complica el análisis automatizado y sugiere una posible selección de objetivos, en vez de una distribución masiva.

Cuando se ejecuta, CrashStealer muestra una ventana que imita un aviso del sistema y pide la contraseña de macOS, según describe Jamf. Pero no es solo phishing visual. El malware comprueba localmente la clave introducida y, si es correcta, la aprovecha para desbloquear el llavero y extraer su contenido.

Los datos robados se cifran con AES-GCM antes de enviarse a la infraestructura bajo control de los atacantes, de acuerdo con Jamf. Y su diseño técnico también ha llamado la atención de los analistas: en vez de apoyarse en AppleScript, un recurso muy habitual en amenazas para Mac, está escrito en C++.

El hallazgo encaja con algo que los investigadores de seguridad llevan meses señalando. Durante 2024 ha crecido la actividad maliciosa en macOS, sobre todo la de los llamados infostealers, y CrashStealer pasa a engrosar una lista cada vez más larga junto a Atomic Stealer o MacSync.

Para quien use un Mac, el aviso está ahí: una app que parece legítima y supera los controles iniciales también puede ser una trampa. Conviene desconfiar del software descargado fuera de fuentes conocidas, mirar con calma cualquier petición de contraseña y mantener el sistema al día. Apple, por su parte, ya ha revocado, según Jamf, el identificador de desarrollador vinculado a la campaña.