Se ha observado un nuevo malware de robo de información (infostealer) dirigido a Catalina y a las versiones más recientes de macOS que funcionan con CPU Intel M1 y M2. El investigador de seguridad Shilpesh Trivedi, de Uptycs, comentó los hallazgos en un aviso publicado el viernes.
«El equipo de investigación de amenazas de Uptycs ha descubierto un ladrón de macOS que […] controla sus operaciones a través de Telegram», escribió Trivedi. «Lo hemos bautizado como MacStealer».
El infostealer fue descubierto durante una de las operaciones de caza en la web oscura de la compañía. El malware puede extraer información de documentos, cookies de navegadores (Firefox, Google Chrome y Brave) e información de inicio de sesión.
«El malhechor utiliza un archivo .DMG para propagar el malware. Después de que un usuario ejecuta el archivo, se abre una solicitud de contraseña falsa para recopilar contraseñas», explicó Trivedi.
A continuación, se observó al ladrón creando archivos ZIP con los datos robados y enviándolos a su infraestructura de mando y control (C2) a través de una solicitud POST utilizando un comando de agente de usuario Python. Concluye su cadena de ataque borrando los datos y el archivo ZIP del sistema de la víctima.
«Simultáneamente, el MacStealer transmite información seleccionada a los canales de Telegram listados», dijo Trivedi. «Una vez que ha enviado el archivo ZIP compilado al C2, este último comparte el archivo con el bot personal de Telegram del actor de la amenaza».
Observando el gráfico de VirusTotal para MacStealer, el equipo de Uptycs detectó varias muestras de malware diferentes. El actor de la amenaza entre el infostealer también parecía estar trabajando activamente en su actualización con nuevas características, incluyendo el robo de criptomoneda, shell inverso y más.
«Descubrimos que el distribuidor tiene un pedido de producción masiva de MacStealer de otros actores de amenazas, por lo que es probable que el malware se propague más ampliamente», advirtió Trivedi.
Para protegerse de esta amenaza, los investigadores de seguridad recomendaron a los usuarios mantener actualizados sus sistemas Mac y permitir únicamente la instalación de archivos procedentes de fuentes de confianza permitidas mediante el ajuste «Permitir aplicaciones descargadas de App Store/App Store y desarrolladores identificados».