Ladrones de información de Python en macOS
Los especialistas en ciberseguridad alertan sobre la rápida expansión de los ataques de robo de información más allá de Microsoft Windows, llegando a los ecosistemas macOS de Apple. Los actores de amenazas recurren cada vez más a lenguajes multiplataforma como Python y abusan de servicios de confianza y plataformas publicitarias para distribuir malware a gran escala, ampliando significativamente la superficie de ataque.
Tabla de contenido
La ingeniería social impulsa las campañas de robo de información en macOS
Desde finales de 2025, múltiples campañas se han dirigido a usuarios de macOS mediante técnicas de ingeniería social, especialmente ClickFix. Estas operaciones distribuyen instaladores maliciosos de imágenes de disco (DMG) que implementan conocidas familias de robadores de información de macOS, como Atomic macOS Stealer (AMOS), MacSync y DigitStealer. La distribución suele depender de convencer a los usuarios para que inicien manualmente el proceso de infección.
Abuso nativo de macOS y robo sigiloso de datos
Una vez ejecutadas, estas amenazas suelen recurrir a técnicas sin archivos, utilidades nativas de macOS y automatización de AppleScript para evadir la detección y optimizar la recopilación de datos. La información robada suele incluir credenciales y datos de sesión almacenados en el navegador, entradas confidenciales del llavero de iCloud y secretos de desarrollador que pueden facilitar una mayor vulneración.
El malvertising como vector de acceso inicial
Muchas de estas cadenas de ataque comienzan con anuncios maliciosos, frecuentemente distribuidos a través de Google Ads. Los usuarios que buscan software legítimo, como utilidades de DynamicLake o herramientas de inteligencia artificial, son redirigidos a sitios web falsos. Estos sitios emplean señuelos de ClickFix que indican a las víctimas que sigan comandos de copiar y pegar o las instrucciones del instalador, lo que resulta en la autoinyección de malware.
Los ladrones de Python permiten una rápida adaptación
Los ladrones de información basados en Python son especialmente atractivos para los atacantes debido a su flexibilidad y facilidad de reutilización en diferentes sistemas operativos. Estas amenazas se distribuyen comúnmente mediante correos electrónicos de phishing y están diseñadas para robar una amplia gama de activos sensibles, incluyendo:
Credenciales de inicio de sesión, cookies de sesión, tokens de autenticación, detalles de tarjetas de crédito y datos de billetera de criptomonedas
Robo de PXA y abuso de la aplicación de mensajería
Un ejemplo notable es PXA Stealer, atribuido a actores de amenazas vietnamitas. Las campañas documentadas de octubre y diciembre de 2025 se basaron en correos electrónicos de phishing para el acceso inicial y aprovecharon claves de ejecución del registro o tareas programadas para mantener la persistencia. Telegram se utilizó para comunicaciones de comando y control y exfiltración de datos. Por otra parte, los actores de amenazas también han utilizado plataformas de mensajería populares como WhatsApp para distribuir malware como Eternidade Stealer, dirigido a cuentas financieras y de criptomonedas, una campaña divulgada públicamente en noviembre de 2025.
Envenenamiento SEO y software falso en Windows
La actividad de los ladrones de información no se limita a macOS. Campañas paralelas han utilizado editores de PDF falsos, como Crystal PDF, promocionados mediante publicidad maliciosa y envenenamiento de motores de búsqueda (SEO). Estos ataques, centrados en Windows, implementan ladrones de credenciales capaces de extraer silenciosamente cookies, información de sesión y credenciales almacenadas en caché de Mozilla Firefox y Google Chrome.
Medidas defensivas contra las operaciones de robo de información
Para reducir la exposición a amenazas de robo de información, se recomienda a las organizaciones implementar defensas en capas e iniciativas de concientización de los usuarios, que incluyan:
- Capacitar a los usuarios para reconocer cadenas de redireccionamiento de publicidad maliciosa, instaladores fraudulentos y avisos de estilo ClickFix
- Monitoreo de actividad inusual en la terminal, acceso no autorizado al llavero de iCloud y solicitudes POST salientes sospechosas a dominios recién registrados o anómalos
Impacto empresarial de la vulneración de Infostealer
Las infecciones exitosas de robo de información pueden tener consecuencias de gran alcance. El robo de credenciales y datos de sesión puede propiciar filtraciones de datos, acceso no autorizado a sistemas internos, la vulneración del correo electrónico empresarial, intrusiones en la cadena de suministro y ataques posteriores, como la implementación de ransomware. La detección proactiva y la capacitación siguen siendo fundamentales para limitar estos riesgos.
