Ciberseguridad

Los ciberdelincuentes han encontrado una forma poco habitual de atacar los ordenadores Mac de Apple. Una nueva variante de MacSync está utilizando eventos públicos de los calendarios de iCloud como parte del proceso para descargar componentes maliciosos en equipos con macOS.

Eso sí, MacSync no es una amenaza completamente nueva. Este malware, desarrollado en Swift y especializado en el robo de información, fue detectado por primera vez en abril de 2025.

Desde entonces ha evolucionado considerablemente, incorporando módulos y técnicas destinadas tanto a ampliar sus capacidades como a dificultar su detección.

De falsas aplicaciones a los calendarios de iCloud

Las campañas detectadas hasta ahora recurren principalmente a la ingeniería social. Una de las técnicas empleadas es ClickFix, un método que intenta convencer al usuario para que ejecute determinados comandos pensando que está solucionando un problema o completando una instalación legítima.

MacSync también se ha presentado como software gratuito, aplicaciones modificadas o herramientas aparentemente útiles para macOS. Entre los disfraces empleados se encuentran utilidades relacionadas con Homebrew y programas destinados a analizar el espacio disponible en el disco.

Una de las campañas investigadas fue todavía más elaborada. Los atacantes crearon Toria, una falsa cartera digital que llegó a disponer de una página web propia y que fue promocionada mediante redes sociales.

El procedimiento descubierto ahora introduce una importante novedad. El descargador asociado al ataque puede acceder a la descripción de un evento público alojado en el calendario de iCloud. Dentro de esa información se esconden instrucciones que posteriormente son procesadas mediante la shell zsh de macOS.

Buena parte del contenido recuperado provoca errores al ser interpretado por la consola. Sin embargo, determinadas instrucciones colocadas estratégicamente consiguen ejecutarse y permiten localizar y descargar el siguiente componente de la infección.

La cadena continúa con un archivo que contiene un paquete APP utilizado como dropper. A partir de ahí se suceden diferentes etapas hasta que MacSync termina instalado en el ordenador.

MacSync puede buscar contraseñas, cookies y criptomonedas

El objetivo principal del malware continúa siendo obtener información valiosa del usuario. Su módulo infostealer está preparado para recopilar historiales de navegación, cookies y credenciales almacenadas, además de información procedente de aplicaciones instaladas.

La lista de objetivos es extensa ya que puede intentar acceder a extensiones relacionadas con monederos de criptomonedas, información de Telegram y datos almacenados en el Llavero de macOS.

MacSync también busca configuraciones y credenciales vinculadas con entornos profesionales y de desarrollo. Entre ellas aparecen SSH, AWS, Kubernetes y Git, además de archivos de configuración de la propia shell.

Esta capacidad aumenta la gravedad potencial de una infección en ordenadores utilizados para trabajar. El robo de determinadas credenciales podría proporcionar a los atacantes acceso a servicios externos, repositorios o infraestructuras utilizadas por una organización.

Una nueva puerta trasera se hace pasar por Finder

La evolución más significativa de MacSync es la incorporación de un módulo de puerta trasera desarrollado en Objective-C. Para pasar inadvertido, se presenta como Finder, el conocido gestor de archivos integrado en macOS.

El malware dispone además de diferentes mecanismos destinados a mantener su presencia después de reiniciar el equipo. Para ello puede recurrir a LaunchAgent, introducir modificaciones en el archivo .zshrc y utilizar hooks globales de Git.

Otra de sus estrategias consiste en finalizar determinados procesos de notificación de macOS, reduciendo así las posibilidades de que el usuario reciba avisos que puedan revelar una actividad anómala.

Una vez activa, la puerta trasera puede ejecutar AppleScript enviado desde la infraestructura de comando y control de los atacantes. También puede recopilar nuevos archivos e información del sistema para posteriormente enviarlos al servidor remoto.

Entre las capacidades observadas aparece incluso la posibilidad de desplegar extensiones maliciosas para el navegador o sustituir una aplicación instalada del monedero Ledger por otra proporcionada por los atacantes.

Los investigadores han localizado además una función denominada live_browser que descarga y ejecuta un componente llamado sn_relay. Su finalidad exacta todavía no ha podido determinarse.