Ladrón de Miolab

Miolab, también conocido como Nova, es un sofisticado programa de robo de información diseñado específicamente para atacar a usuarios de macOS. Se distribuye a través de foros de hackers bajo el modelo de Malware como Servicio (MaaS), lo que permite a los ciberdelincuentes acceder a un potente conjunto de herramientas sin necesidad de conocimientos técnicos avanzados. Este malware es capaz de extraer datos confidenciales de extensiones de monederos de criptomonedas, navegadores web y diversas aplicaciones de gestión, además de robar archivos directamente de los sistemas comprometidos. Su eliminación inmediata es fundamental tras su detección para minimizar los daños.

Diseñado para la eficiencia, construido para la evasión.

Miolab no es un simple programa de robo de datos; integra un panel de control centralizado y herramientas de gestión de ataques que elevan significativamente su nivel de amenaza. Esta infraestructura permite incluso a atacantes con poca experiencia ejecutar campañas complejas. Su arquitectura ligera y optimizada mejora la propagación, garantiza un rendimiento constante en diversos entornos macOS y ayuda a eludir los mecanismos de detección tradicionales.

Mando y control: Gestión de ataques simplificada

El panel de control integrado proporciona a los atacantes una visión general estructurada de las víctimas comprometidas, incluyendo datos geográficos e información recopilada. También incluye la funcionalidad para reutilizar sesiones de autenticación de Google robadas, lo que permite el acceso no autorizado a las cuentas sin necesidad de contraseñas ni de eludir directamente la autenticación de dos factores.

Además, Miolab admite la implementación de páginas de distribución maliciosas y métodos de ataque similares a ClickFix. Los operadores se benefician de notificaciones en tiempo real a través de Telegram y pueden automatizar diversas etapas de sus campañas, lo que aumenta la eficiencia operativa y la escalabilidad.

Capacidades de extracción de datos de navegadores y criptomonedas

Miolab ataca agresivamente los datos almacenados en el navegador, extrayendo credenciales e información relacionada con la sesión que puede utilizarse para realizar ataques informáticos. Su alcance se extiende tanto a navegadores convencionales como a navegadores especializados, ampliando significativamente su área de impacto.

• Los datos confidenciales del navegador que se recopilan incluyen contraseñas guardadas, cookies, historial de navegación y detalles de autocompletado como correos electrónicos y direcciones.
• También se recopilan artefactos de autenticación, como tokens de Google y cookies de Safari.
  Los navegadores afectados incluyen Chrome, Edge, Firefox, Arc, Brave, Librewolf, Opera, Opera GX, SeaMonkey, Tor Browser, Vivaldi, Waterfox, Yandex y Coc Coc.
• Más allá de los navegadores, Miolab se centra principalmente en los criptoactivos, extrayendo archivos como .dat, .key y .keys de más de 200 extensiones de monederos. También ataca las aplicaciones utilizadas para gestionar monederos de hardware, lo que permite el robo de datos de recuperación cruciales.
• Las herramientas de criptomonedas objetivo incluyen Atomic Wallet, Binance, Bitcoin, DashCore, Dogecoin, Electrum, Exodus, Guarda, Litecoin, Monero, Tonkeeper y Wasabi Wallet.

• Aplicaciones como Ledger Live, Ledger Wallet y Trezor Suite están específicamente diseñadas para la extracción de frases semilla de recuperación de 24 palabras.

Más allá de los navegadores: mensajería y explotación de datos locales

El malware extiende su alcance a aplicaciones de comunicación y productividad. Puede secuestrar sesiones activas de plataformas como Telegram y Discord, otorgando a los atacantes acceso a las cuentas sin credenciales. También inspecciona Notas de Apple, un lugar común donde los usuarios pueden almacenar involuntariamente información confidencial, como contraseñas o frases de recuperación de criptomonedas.

Una vez completada la recopilación de datos, Miolab comprime la información robada en un archivo ZIP y la extrae mediante HTTP. Para ocultar su actividad, muestra un mensaje de error engañoso de macOS que indica que la aplicación no puede ejecutarse.

Impacto: El verdadero costo de la infección

Una infección por Miolab puede tener graves consecuencias. Las víctimas pueden sufrir pérdidas económicas debido al robo de criptomonedas, acceso no autorizado a sus cuentas, robo de identidad, daños a su reputación y la posibilidad de contraer más infecciones de malware derivadas de la vulnerabilidad inicial.

Cadena de infección: Ingeniería social en su esencia

Miolab recurre en gran medida al engaño para infiltrarse en los sistemas. Los ciberdelincuentes lo distribuyen mediante aplicaciones falsas para macOS empaquetadas como archivos de imagen de disco (.DMG), cuidadosamente diseñados para parecerse a software legítimo. Estos instaladores suelen presentar marcas, iconos e interfaces de usuario convincentes para aumentar su credibilidad.

Una vez ejecutado, el malware inicia un proceso de infección en varias etapas. Presenta una interfaz de instalación falsa que incita a los usuarios a ignorar las advertencias de seguridad haciendo clic derecho y seleccionando "Abrir". A continuación, intenta cerrar la aplicación Terminal para limitar la visibilidad de sus acciones. Se muestra una solicitud de contraseña falsa de macOS, engañando a los usuarios para que proporcionen sus credenciales de sistema.

Tras validar la contraseña, Miolab recopila información del sistema, incluyendo las especificaciones del hardware y la configuración del software. A continuación, escanea directorios clave como Escritorio, Documentos y Descargas, buscando archivos como documentos, hojas de cálculo, PDF y datos relacionados con contraseñas. Durante este proceso, los usuarios pueden recibir solicitudes de permisos, mientras que el malware recopila silenciosamente los datos y los prepara para su posterior extracción.