Nuevo malware de macOS busca vaciar billeteras de criptomonedas

• Los usuarios de Apple que almacenan o gestionan criptomonedas se enfrentan a una nueva amenaza cibernética. Investigadores de Jamf Threat Labs, el equipo de investigación en ciberseguridad, han descubierto una campaña que distribuye una versión falsa de la aplicación de código abierto Maccy, destinada a instalar PamStealer, un malware diseñado para robar contraseñas, credenciales y claves de billeteras de criptomonedas.

Según el informe de la empresa, los atacantes utilizan un sitio web que imita el sitio oficial de Maccy, un gestor de portapapeles gratuito para macOS, para convencer a las víctimas de descargar una imagen de disco maliciosa. Cuando se abre el archivo, muestra instrucciones para ejecutarlo desde el Editor de Apple Script mientras mantiene oculto el código malicioso que inicia la infección.

Una vez en el sistema, el malware verifica la contraseña de inicio de sesión del usuario utilizando los Módulos de Autenticación Plugable (PAM) de macOS. Luego descarga una segunda carga útil desarrollada utilizando herramientas nativas del sistema operativo, una técnica que reduce las posibilidades de ser detectado por programas de seguridad.

El malware también genera una clave basada en la información del dispositivo, como la arquitectura del procesador, la configuración regional, el diseño del teclado y la zona horaria. Esta clave desbloquea una configuración encriptada que contiene las instrucciones necesarias para continuar el ataque.

Si la infección tiene éxito, el malware puede robar contraseñas almacenadas en navegadores, datos de la llavero de macOS, información copiada al portapapeles y credenciales relacionadas con billeteras de criptomonedas. Además, establece persistencia en la máquina y envía los datos robados a un servidor remoto a través de comunicaciones encriptadas.

Como parte del ataque, el programa también muestra una ventana falsa a un explorador de archivos solicitando acceso completo al disco. Notablemente, este aviso puede aparecer hasta 40 minutos después de la instalación, lo que dificulta que el usuario asocie la solicitud con la descarga inicial. Si se concede permiso, el malware obtiene acceso a información protegida, incluidos correos electrónicos, mensajes y copias de seguridad de Time Machine.

La empresa explicó que este tipo de campaña se basa principalmente en la ingeniería social. Según Jaron Bradley, director de Jamf Threat Labs, los ciberdelincuentes compran anuncios en plataformas como Google Ads y X para dirigir a los usuarios a páginas falsas que parecen ofrecer aplicaciones legítimas. La compañía agregó que recientemente detectó otro anuncio patrocinado en X distribuyendo una variante del malware Atomic Stealer a través de una cuenta verificada, aumentando la credibilidad del engaño.

Aunque la empresa declaró que aún no ha encontrado evidencia de que PamStealer se esté utilizando activamente, ya ha notificado a Apple sobre sus hallazgos. Hasta ahora, la compañía no ha emitido comentarios públicos sobre el caso.

Los investigadores concluyen que esta campaña refleja una tendencia creciente entre los ciberdelincuentes: disfrazar el malware como software legítimo y aprovechar plataformas de confianza para distribuirlo. Un informe de la firma de investigación TRM Labs indicó que en 2026 hubo un aumento en el número de ataques, con pérdidas totales de 972 millones de dólares, según informó CriptoNoticias.

Para los usuarios de criptomonedas, estas amenazas representan un riesgo significativo, ya que el robo de credenciales o claves de billetera puede llevar a la pérdida irreversible de fondos digitales.

Aviso legal: Este contenido se brinda únicamente con fines informativos y de marca, y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Ningún evento, recompensa, evento en línea o información relacionada que se mencione aquí debe considerarse una recomendación, solicitud o invitación para comprar, vender, intercambiar u operar de cualquier otra forma con criptoactivos ni para utilizar ningún servicio. Los criptoactivos son altamente volátiles y pueden generar pérdidas. Los servicios y eventos en línea de WEEX pueden no estar disponibles en todas las regiones y están sujetos a las leyes, regulaciones y requisitos de elegibilidad aplicables. Usted es responsable de asegurarse de que su uso de los servicios de WEEX cumpla con las leyes locales y de evaluar cuidadosamente los riesgos antes de participar en cualquier actividad relacionada con criptomonedas.