MacSync roba datos a través del calendario de iCloud
Los investigadores de Kaspersky han descubierto una campaña aún activa contra usuarios de Mac en la que el malware MacSync utiliza el calendario de iCloud y el almacenamiento en la nube para distribuir un componente espía. El malware se hace pasar por carteras de criptomonedas y aplicaciones comerciales «crackeadas». Los expertos recomiendan extremar la precaución al descargar programas de sitios de terceros y desconfiar de las aplicaciones que piden la contraseña de administrador sin un motivo claro.
Infectar un dispositivo solo parece sencillo en teoría. En la práctica, los delincuentes tienen que convencer a alguien para que descargue y ejecute un programa y, después, eludir el antivirus. Además, quieren poder cambiar los componentes maliciosos sin repetir todo el proceso de infección. Para ello utilizan cargadores: pequeños programas que primero llegan al ordenador y luego instalan el malware principal.
Este método plantea otro problema a los delincuentes: los sistemas de protección pueden detectar la conexión del cargador con el servidor de control. MacSync elude ese control mediante el calendario de iCloud. Una vez iniciado, el cargador accede al calendario —una operación normal y por lo general segura— y busca un evento público creado de antemano. La descripción del evento contiene instrucciones y la dirección del componente espía. El propio archivo también está alojado en iCloud; después, el cargador lo instala en el Mac.
El cargador se distribuye a través de redes sociales, posicionamiento en buscadores manipulado y campañas de phishing. A los usuarios se les dirige a sitios o canales fraudulentos donde prometen versiones gratuitas de programas de pago y «cracks». En uno de los casos, el malware se anunciaba como una cartera de criptomonedas. Se mostraba a la víctima una ventana ClickFix típica —un error falso— y se le proponía solucionarlo pegando un comando en Terminal. El comando iniciaba el cargador, que instalaba MacSync.
MacSync apareció en abril de 2025 y al principio estaba relacionado con AMOS, uno de los ladrones de información más extendidos para macOS. Está escrito en Swift y ha ido incorporando nuevas funciones. Según Kaspersky, puede robar el historial del navegador, las cookies, las contraseñas guardadas, datos de carteras de criptomonedas y aplicaciones, información de Telegram, datos del llavero del sistema Keychain, así como información sobre el ordenador y el sistema operativo.
Además, MacSync puede robar archivos de configuración de SSH, AWS, Kubernetes, Git y shell. Esto es especialmente peligroso para los desarrolladores: esos archivos pueden contener claves de acceso, configuraciones de infraestructura y otros datos que permiten proseguir el ataque más allá del Mac personal.
Las nuevas versiones incorporan una puerta trasera en Objective-C que se hace pasar por Finder, el gestor de archivos estándar de macOS. Se instala de forma persistente en el sistema, finaliza procesos de notificaciones para que la víctima no vea avisos y permite el acceso remoto a los atacantes. A través de ella pueden ejecutar AppleScript recibido del servidor de control, instalar extensiones del navegador, suplantar la aplicación legítima de la cartera Ledger, recopilar más información del sistema y ejecutar otros comandos.
Kaspersky también ha detectado un comando de función desconocida llamado «live_browser». Descarga y ejecuta un componente llamado «sn_relay», cuyo propósito aún no se ha establecido. Los investigadores señalan que las nuevas versiones de MacSync difieren considerablemente de las anteriores: sus autores han revisado a fondo el enfoque y ampliado sus capacidades.
Por el tipo de datos que recopila y las aplicaciones que elige para camuflarse, MacSync se dirige sobre todo a desarrolladores, usuarios de criptomonedas y personas vinculadas al sector tecnológico. Infectar los ordenadores de desarrolladores genera riesgos adicionales: las claves y configuraciones robadas pueden utilizarse para atacar sistemas corporativos y usuarios finales. Así que ejecutar comandos sacados de instrucciones al azar, instalar «cracks» y dar a las aplicaciones la contraseña de administrador se convierte en una lotería bastante cara: normalmente pierde quien pulsa primero.
PEREC.RU
MacSync es un malware para macOS descubierto por investigadores de Kaspersky en una campaña aún activa, dirigida sobre todo a desarrolladores, entusiastas de las criptomonedas y otros usuarios vinculados al sector tecnológico. Se distribuye mediante falsas carteras de criptomonedas, programas comerciales «crackeados», redes sociales, páginas de phishing y resultados manipulados en buscadores. En algunos casos, se pide a la víctima que corrija un falso error de ClickFix pegando un comando en Terminal. Así se instala primero un cargador y, después, el propio MacSync.
La principal particularidad del ataque es el uso del calendario de iCloud y del almacenamiento en la nube. El cargador accede al calendario como si se tratara de una operación habitual y busca un evento público concreto, creado previamente por los atacantes. La descripción del evento contiene instrucciones e información sobre dónde encontrar el ladrón de información principal, un programa que roba datos. El propio componente malicioso también está alojado en iCloud. Este método ayuda a ocultar la descarga entre el tráfico legítimo y dificulta su detección.
MacSync apareció en abril de 2025 y al principio derivaba de AMOS, uno de los ladrones de información populares para macOS. Está escrito en Swift y con el tiempo ha incorporado nuevas funciones. Puede robar el historial del navegador, las cookies, las credenciales guardadas, información de carteras de criptomonedas y aplicaciones, datos de Telegram, el contenido de Keychain e información del sistema y del dispositivo. También recopila archivos de configuración de SSH, AWS, Kubernetes, Git y shell, que pueden incluir claves de acceso y parámetros de la infraestructura de trabajo.
Las nuevas versiones de MacSync contienen una puerta trasera en Objective-C camuflada como Finder, el gestor de archivos estándar de macOS. La puerta trasera se instala de forma persistente, finaliza procesos de notificaciones para ocultar los avisos, permite el acceso remoto, ejecuta AppleScript recibido del servidor de control, instala extensiones del navegador, puede suplantar la aplicación legítima de Ledger y recopila información adicional. El comando «live_browser» descarga el componente «sn_relay», cuyo propósito aún se desconoce.
Kaspersky subraya que las nuevas versiones difieren considerablemente de las primeras: los atacantes han revisado a fondo la arquitectura y las tácticas. La infección de los ordenadores de desarrolladores entraña un peligro especial. Las claves, configuraciones y credenciales robadas pueden servir para infiltrarse en sistemas corporativos y atacar a usuarios finales. Para protegerse, conviene evitar programas de sitios de terceros dudosos, no instalar «cracks», no ejecutar comandos encontrados al azar en internet y prestar atención a las solicitudes de la contraseña de administrador.
