Una nueva variante del malware infostealer MacSync ha dado un salto cualitativo en su capacidad de evasión: ahora utiliza eventos de calendarios públicos de iCloud como canal de comando y control para distribuir payloads adicionales. Este hallazgo, reportado por investigadores de Kaspersky, representa una evolución significativa en las tácticas de los operadores de malware dirigido a macOS, combinando ingeniería social sofisticada con una infraestructura de distribución que explota servicios legítimos de Apple.
El calendario de iCloud como vector de ataque: una maniobra de ocultación novedosa
Lo que distingue a esta campaña de otras similares es el uso de la herramienta de calendario público de iCloud como mecanismo para ocultar comandos. En la cadena de infección más compleja observada por Kaspersky, un descargador inicial recupera datos desde un evento de calendario público. Las instrucciones están incrustadas en la descripción del evento, concretamente después de la línea DESCRIPTION:codecode. El descargador alimenta esta información al shell zsh de macOS; la mayor parte del texto del calendario genera errores, pero los comandos maliciosos incrustados se ejecutan y descargan un archivo comprimido con los componentes del malware.
Este método es particularmente astuto porque el evento de calendario es público, accesible por cualquier persona, y el tráfico hacia iCloud no levanta sospechas en cortafuegos ni sistemas de detección de intrusiones. La infraestructura de Apple se convierte así en un proxy involuntario para la distribución de malware. La técnica permite a los atacantes cambiar el payload sin necesidad de modificar el descargador inicial ni rotar servidores de comando y control tradicionales, simplemente actualizando la descripción del evento de calendario.
Origen y evolución de MacSync
MacSync surgió en abril de 2025 como un malware escrito en Swift. Las versiones iniciales derivaban de la familia AMOS, un conocido infostealer para macOS. Sin embargo, Kaspersky documenta que el malware ha evolucionado significativamente, añadiendo nuevas capacidades a través de módulos. La versión actual representa una maduración del código, pasando de ser un simple ladrón de información a una plataforma modular con capacidades de backdoor persistente.
La distribución inicial se ha producido mediante campañas ClickFix, donde se presenta a la víctima un mensaje de error falso y se le insta a ejecutar un comando para solucionarlo. También se ha observado su distribución camuflada como herramientas legítimas como Homebrew y analizadores de espacio en disco para macOS. Otra táctica empleada por los actores de amenazas ha sido la promoción de una falsa wallet de criptomonedas llamada Toria, con un sitio web dedicado y promoción en redes sociales, para engañar a usuarios interesados en criptoactivos.
Cadena de infección en dos variantes
Kaspersky identificó dos métodos de entrega distintos. El primero, más sencillo, implica que el usuario descargue e instale voluntariamente una aplicación maliciosa, como la falsa wallet Toria o las herramientas de sistema suplantadas. El segundo, más elaborado, es el que utiliza el calendario de iCloud como intermediario.
En la variante compleja, el proceso comienza con un descargador que contacta con iCloud para obtener los datos del evento de calendario. Tras extraer y ejecutar los comandos ocultos, se descarga un archivo comprimido que contiene un bundle etiquetado como ‘APP’. Este bundle actúa como un dropper, iniciando una cadena de múltiples etapas que finalmente despliega el malware MacSync completo. La naturaleza multicapa de esta cadena dificulta el análisis automatizado y la detección por parte de soluciones de seguridad tradicionales.
| Etapa | Descripción | Función |
|---|---|---|
| 1 | Descargador inicial | Obtiene comandos desde evento de calendario público iCloud |
| 2 | Ejecución en zsh | Procesa la descripción del evento y ejecuta comandos ocultos |
| 3 | Archivo comprimido | Contiene el bundle ‘APP’ que funciona como dropper |
| 4 | Múltiples etapas internas | Descargan e instalan el malware MacSync completo |
El nuevo módulo backdoor: Finder suplantado y persistencia agresiva
La innovación más preocupante documentada por Kaspersky es un módulo backdoor escrito en Objective-C que se hace pasar por Finder, el gestor de archivos predeterminado de macOS. Este backdoor se instala mediante múltiples mecanismos de persistencia: un LaunchAgent, modificaciones en el archivo .zshrccodecode y hooks globales de Git. Además, el malware termina los procesos de notificación de macOS para evitar que el usuario reciba alertas sobre la actividad sospechosa.
Una vez establecido, el backdoor puede ejecutar AppleScripts recibidos desde su servidor de comando y control. Entre sus capacidades documentadas se incluyen:
- Desplegar extensiones de navegador o reemplazar la aplicación legítima Ledger Wallet por versiones controladas por el atacante, comprometiendo directamente la seguridad de criptoactivos.
- Recolectar información adicional del sistema y archivos, y subirlos al servidor C2.
- Verificar y restablecer la persistencia tras un reinicio del sistema.
- Ejecutar un comando misterioso denominado
live_browsercodecode, que descarga e inicia un componente llamadosn_relaycodecode cuya funcionalidad concreta Kaspersky no pudo determinar.
La capacidad de ejecutar AppleScript arbitrario proporciona a los atacantes una flexibilidad enorme para interactuar con el sistema operativo, automatizar acciones maliciosas y potencialmente evadir controles de seguridad que no monitoricen este tipo de scripts.
Funcionalidades del módulo infostealer
El módulo de robo de información, aunque menos novedoso, sigue siendo altamente efectivo. Sus objetivos incluyen un amplio espectro de datos sensibles:
- Historial de navegación, cookies y credenciales guardadas en los principales navegadores.
- Datos de extensiones de wallets de criptomonedas y aplicaciones nativas de cripto.
- Datos de Telegram, archivos de Keychain de macOS.
- Información del sistema y del dispositivo.
- Archivos de configuración de SSH, AWS, Kubernetes y Git.
- Archivos de configuración del shell.
Este enfoque integral permite a los atacantes recopilar credenciales de acceso a servicios en la nube, claves privadas de criptomonedas y tokens de autenticación, lo que multiplica el impacto potencial de una infección.
Implicaciones para la seguridad de macOS y la industria
La adopción de iCloud Calendar como canal de comando y control marca un hito en la evolución del malware para macOS. Durante años, los sistemas de Apple han gozado de una percepción de seguridad superior, pero campañas como esta demuestran que los atacantes están dispuestos a invertir recursos en desarrollar técnicas de evasión específicas para la plataforma.
El uso de servicios legítimos de Apple como infraestructura de ataque presenta desafíos particulares para la detección, ya que el tráfico hacia iCloud es considerado normal y necesario para el funcionamiento del ecosistema Apple. Las soluciones de seguridad tradicionales basadas en listas negras de dominios o IPs serán ineficaces contra este tipo de ataques.
Los investigadores de Kaspersky observaron que el malware MacSync continúa evolucionando. La aparición de comandos como live_browsercodecode y sn_relaycodecode, cuya función exacta no ha sido determinada, sugiere que los desarrolladores están probando nuevas capacidades que podrían desplegarse en futuras variantes. La modularidad del código permite añadir funcionalidades sin necesidad de reescribir el núcleo del malware.
Recomendaciones prácticas para usuarios de macOS
Ante esta amenaza evolutiva, las recomendaciones de seguridad son claras y deben aplicarse de forma rigurosa. La primera y más importante es no ejecutar comandos encontrados en línea, especialmente aquellos que se presentan como solución a problemas de software o mensajes de error. Las campañas ClickFix explotan precisamente la tendencia del usuario a seguir instrucciones sin cuestionar su origen.
También es fundamental evitar descargar archivos DMG desde sitios sospechosos o no verificados. La falsa wallet Toria demuestra cómo los atacantes invierten en crear sitios web y promoción en redes sociales para ganar legitimidad aparente. Cualquier descarga de software, especialmente si promete funcionalidades gratuitas o crackeadas, debe ser examinada con escepticismo.
Las solicitudes de contraseña de administrador deben tratarse con especial precaución. El malware MacSync genera ventanas de solicitud de contraseña que imitan las legítimas de macOS. Si una aplicación solicita la contraseña de administrador sin una razón clara y verificable, el usuario debería denegar el permiso y cerrar la aplicación.
Finalmente, mantener actualizado macOS y las herramientas de seguridad, así como considerar soluciones de protección específicas contra amenazas de macOS, puede ayudar a detectar comportamientos anómalos como el acceso inusual a servicios de iCloud o la modificación de procesos del sistema.
La evolución de MacSync hacia el uso de calendarios públicos de iCloud como vector de distribución subraya una tendencia más amplia en el cibercrimen: la explotación de servicios legítimos y de confianza para canalizar actividades maliciosas. Para los defensores, esto significa que las estrategias de detección deben evolucionar más allá del análisis de tráfico hacia la observación de comportamientos anómalos dentro de flujos de datos que, a priori, son normales. La plataforma macOS, durante mucho tiempo considerada un blanco menor frente a Windows, se ha convertido en un objetivo cada vez más atractivo para actores de amenazas que desarrollan técnicas específicas y persistentes. MacSync es solo un ejemplo de lo que probablemente será una tendencia creciente en los próximos años.
