El malware «MacSync», diseñado para robar información, oculta comandos maliciosos en un calendario de iCloud

Una nueva va­rian­te del malwa­re de robo de in­for­ma­ción co­no­ci­do como MacSync afec­ta a los usua­rios de compu­tado­ras Mac, pre­sen­tán­do­se como una apli­ca­ción de bi­lle­te­ra de crip­to­mo­ne­das falsa que se pro­mo­cio­na me­dian­te pla­ta­for­mas en línea y un sitio web pro­pio. Esta ver­sión ac­tua­li­za­da in­clu­ye un pro­gra­ma ma­li­cio­so para ex­traer datos y una puer­ta tra­se­ra per­sis­ten­te, y se dis­tin­gue de va­rian­tes an­te­rio­res al cam­biar los scripts de Apple por eje­cu­ta­bles com­ple­tos re­dac­ta­dos en Ob­jec­ti­ve-C y Swift.

El pro­ce­so de in­fec­ción in­clu­ye ca­de­nas com­ple­jas que uti­li­zan car­ga­do­res y eje­cu­ta­do­res, em­plean­do in­clu­so una in­fra­es­truc­tu­ra legal de Apple en una de sus eta­pas in­ter­me­dias. En uno de los mé­to­dos iden­ti­fi­ca­dos, un en­la­ce ocul­to di­ri­gía a un ca­len­da­rio pú­bli­co de iCloud, desde donde se pro­ce­sa­ban ins­truc­cio­nes a tra­vés de la ter­mi­nal para des­car­gar ar­chi­vos com­pri­mi­dos que con­te­nían apli­ca­cio­nes adi­cio­na­les ca­pa­ces de ve­ri­fi­car en­tor­nos vir­tua­les y blo­quear he­rra­mien­tas de de­pu­ra­ción.

Para ob­te­ner las cre­den­cia­les, el soft­wa­re ma­li­cio­so so­li­ci­ta la con­tra­se­ña del ad­mi­nis­tra­dor me­dian­te una ven­ta­na si­mu­la­da y mues­tra un aviso falso sobre daños en la apli­ca­ción, uti­li­zan­do una téc­ni­ca de au­ten­ti­ca­ción poco común en este tipo de ame­na­zas. Pos­te­rior­men­te, el pro­gra­ma re­co­pi­la una am­plia gama de in­for­ma­ción con­fi­den­cial, in­clu­yen­do his­to­ria­les de na­ve­ga­ción, datos de crip­to­mo­ne­das, cre­den­cia­les al­ma­ce­na­das, ar­chi­vos de con­fi­gu­ra­ción de di­ver­sas he­rra­mien­tas de de­sa­rro­llo y per­fi­les de usua­rio.