MacSync Stealer, el malware para Mac que ha evolucionado hasta convertirse en una amenaza silenciosa notariada por Apple

La reciente mutación de MacSync Stealer ha facilitado que este programa dañino consiga el respaldo de firma digital y notariado por parte de Apple, lo que le otorga una apariencia de legitimidad ante los sistemas y los propios usuarios. Según la investigación realizada por Jamf Threat Labs, este desarrollo determina un incremento en la sofisticación de las campañas dirigidas a usuarios de computadoras Mac, pues el software malicioso aprovecha mecanismos de autenticidad y distribución similares a los de las aplicaciones legítimas, lo que complica la detección y aumenta los riesgos de filtración de datos personales. De acuerdo con el análisis de Jamf Threat Labs, esta amenaza surge bajo la fachada de una aplicación escrita en Swift —el lenguaje de programación de Apple—, con una firma asociada a una ID de desarrollador y acompañada del cumplimiento del proceso de notariado que establece la empresa californiana para validar el software distribuido en su ecosistema.

El medio Jamf Threat Labs detalló que MacSync Stealer suele instalarse en Mac a través de métodos que en el pasado requerían la interacción manual del usuario, comparables a las técnicas empleadas por otros programas destructivos como ClickFix, donde el procedimiento implicaba copiar y pegar código malicioso en el sistema. La versión más reciente de este malware ha prescindido de este requisito, favoreciendo una estrategia que no necesita intervención o aprobación consciente de la víctima. El programa se disfraza como una herramienta confiable, como si se tratara de un servicio de mensajería homologado por Apple, lo cual reduce la sospecha por parte de quien utiliza el equipo.

Después de iniciar el proceso en el sistema infectado, la aplicación realiza un reconocimiento del entorno local, incluyendo el estado de la conexión a internet, con el objetivo de determinar si existen las condiciones necesarias para dar el siguiente paso: la conexión a un servidor controlado por los atacantes, desde donde procederá a descargar e instalar su segundo módulo nocivo. El medio especializado Jamf Threat Labs puntualizó que esta táctica de despliegue se inicia mediante una imagen de disco de grande tamaño, especificando un peso de 25,5 MB, que aparenta estar aumentada artificialmente al incorporar archivos señuelo en el interior del paquete de instalación. Esta maniobra no solo refuerza la apariencia de legitimidad, sino que busca evadir mecanismos de seguridad automatizados, prolongando el tiempo en que la amenaza permanece activa sin ser detectada.

El informe subraya, según publicó Jamf Threat Labs, que este método denota una tendencia creciente en el ámbito de los códigos maliciosos enfocados en sistemas macOS: los atacantes adoptan cada vez con mayor frecuencia una estrategia basada en la integración del malware dentro de ejecutables que han recibido firmas y notarios válidos, lo cual facilita su distribución y permite simular con mayor eficacia la condición de software fiable. Los especialistas advierten que, al recurrir a estos procedimientos, los responsables del ataque logran minimizar el margen de identificación temprana por parte de los usuarios y de los servicios de protección automáticos del propio ecosistema de Apple.

A raíz de la alerta emitida por la compañía de ciberseguridad Jamf Threat Labs, Apple procedió a la revocación inmediata de la certificación correspondiente al identificador del equipo de desarrollo relacionado con la difusión de MacSync Stealer. De acuerdo con los expertos consultados por el medio, este tipo de respuesta busca impedir la nueva propagación del malware bajo el mismo canal y bloquear la validación automática de las próximas versiones que pudieran emplear la misma identificación.

El medio Jamf Threat Labs puntualizó que la utilización de archivos de gran tamaño rellenos con elementos de distracción en la imagen de disco, junto con el uso de la firma legítima y el notariado, representa un salto significativo en la forma en que los programas malintencionados buscan vulnerar la seguridad de los equipos Mac. El análisis de los especialistas destaca la relativa facilidad con que los delincuentes pueden explotar los sistemas de confianza del entorno de Apple, logrando que el malware se distribuya sin levantar sospechas.

El caso de MacSync Stealer, según reportó Jamf Threat Labs, forma parte de un fenómeno más amplio en el que los creadores de software dañino evolucionan su ingeniería social, adaptan sus técnicas y se amparan en las políticas de verificación de terceros para afianzar la entrega y persistencia de sus herramientas dañinas. Con la integración de mecanismos de validación oficial y la imitación del comportamiento de aplicaciones ordinarias, los atacantes han conseguido mejorar la evasión de controles y expandir el impacto de sus operaciones en equipos de la marca.