{"id":69771,"date":"2026-09-24T23:07:02","date_gmt":"2026-09-24T23:07:02","guid":{"rendered":"https:\/\/overcentral.com\/es\/?p=69771"},"modified":"2026-09-24T23:07:02","modified_gmt":"2026-09-24T23:07:02","slug":"macsync-malware-icloud-calendarios-69771","status":"publish","type":"post","link":"https:\/\/overcentral.com\/es\/macsync-malware-icloud-calendarios-69771\/","title":{"rendered":"MacSync aprovecha calendarios p\u00fablicos de iCloud para distribuir payloads"},"content":{"rendered":"

Una nueva variante del malware infostealer MacSync ha dado un salto cualitativo en su capacidad de evasi\u00f3n: ahora utiliza eventos de calendarios p\u00fablicos de iCloud como canal de comando y control para distribuir payloads adicionales. Este hallazgo, reportado por investigadores de Kaspersky<\/a>, representa una evoluci\u00f3n significativa en las t\u00e1cticas de los operadores de malware dirigido a macOS, combinando ingenier\u00eda social sofisticada con una infraestructura de distribuci\u00f3n que explota servicios leg\u00edtimos de Apple.<\/p>\n

El calendario de iCloud como vector de ataque: una maniobra de ocultaci\u00f3n novedosa<\/h2>\n

Lo que distingue a esta campa\u00f1a de otras similares es el uso de la herramienta de calendario p\u00fablico de iCloud como mecanismo para ocultar comandos. En la cadena de infecci\u00f3n m\u00e1s compleja observada por Kaspersky, un descargador inicial recupera datos desde un evento de calendario p\u00fablico. Las instrucciones est\u00e1n incrustadas en la descripci\u00f3n del evento, concretamente despu\u00e9s de la l\u00ednea DESCRIPTION:<\/code>codecode. El descargador alimenta esta informaci\u00f3n al shell zsh de macOS; la mayor parte del texto del calendario genera errores, pero los comandos maliciosos incrustados se ejecutan y descargan un archivo comprimido con los componentes del malware.<\/p>\n

Este m\u00e9todo es particularmente astuto porque el evento de calendario es p\u00fablico, accesible por cualquier persona, y el tr\u00e1fico hacia iCloud no levanta sospechas en cortafuegos ni sistemas de detecci\u00f3n de intrusiones. La infraestructura de Apple se convierte as\u00ed en un proxy involuntario para la distribuci\u00f3n de malware. La t\u00e9cnica permite a los atacantes cambiar el payload sin necesidad de modificar el descargador inicial ni rotar servidores de comando y control tradicionales, simplemente actualizando la descripci\u00f3n del evento de calendario.<\/p>\n

Origen y evoluci\u00f3n de MacSync<\/h3>\n

MacSync surgi\u00f3 en abril de 2025<\/a> como un malware escrito en Swift. Las versiones iniciales derivaban de la familia AMOS, un conocido infostealer para macOS. Sin embargo, Kaspersky documenta que el malware ha evolucionado significativamente, a\u00f1adiendo nuevas capacidades a trav\u00e9s de m\u00f3dulos. La versi\u00f3n actual representa una maduraci\u00f3n del c\u00f3digo, pasando de ser un simple ladr\u00f3n de informaci\u00f3n a una plataforma modular con capacidades de backdoor persistente.<\/p>\n

La distribuci\u00f3n inicial se ha producido mediante campa\u00f1as ClickFix, donde se presenta a la v\u00edctima un mensaje de error falso y se le insta a ejecutar un comando para solucionarlo. Tambi\u00e9n se ha observado su distribuci\u00f3n camuflada como herramientas leg\u00edtimas como Homebrew y analizadores de espacio en disco para macOS. Otra t\u00e1ctica empleada por los actores de amenazas ha sido la promoci\u00f3n de una falsa wallet de criptomonedas llamada Toria, con un sitio web dedicado y promoci\u00f3n en redes sociales, para enga\u00f1ar a usuarios interesados en criptoactivos.<\/p>\n

Cadena de infecci\u00f3n en dos variantes<\/h2>\n

Kaspersky identific\u00f3 dos m\u00e9todos de entrega distintos. El primero, m\u00e1s sencillo, implica que el usuario descargue e instale voluntariamente una aplicaci\u00f3n maliciosa, como la falsa wallet Toria o las herramientas de sistema suplantadas. El segundo, m\u00e1s elaborado, es el que utiliza el calendario de iCloud como intermediario.<\/p>\n

En la variante compleja, el proceso comienza con un descargador que contacta con iCloud para obtener los datos del evento de calendario. Tras extraer y ejecutar los comandos ocultos, se descarga un archivo comprimido que contiene un bundle etiquetado como ‘APP’. Este bundle act\u00faa como un dropper, iniciando una cadena de m\u00faltiples etapas que finalmente despliega el malware MacSync completo. La naturaleza multicapa de esta cadena dificulta el an\u00e1lisis automatizado y la detecci\u00f3n por parte de soluciones de seguridad tradicionales.<\/p>\n\n\n\n\n\n\n
Etapa<\/th>\nDescripci\u00f3n<\/th>\nFunci\u00f3n<\/th>\n<\/tr>\n
1<\/td>\nDescargador inicial<\/td>\nObtiene comandos desde evento de calendario p\u00fablico iCloud<\/td>\n<\/tr>\n
2<\/td>\nEjecuci\u00f3n en zsh<\/td>\nProcesa la descripci\u00f3n del evento y ejecuta comandos ocultos<\/td>\n<\/tr>\n
3<\/td>\nArchivo comprimido<\/td>\nContiene el bundle ‘APP’ que funciona como dropper<\/td>\n<\/tr>\n
4<\/td>\nM\u00faltiples etapas internas<\/td>\nDescargan e instalan el malware MacSync completo<\/td>\n<\/tr>\n<\/table>\n

El nuevo m\u00f3dulo backdoor: Finder suplantado y persistencia agresiva<\/h2>\n

La innovaci\u00f3n m\u00e1s preocupante documentada por Kaspersky es un m\u00f3dulo backdoor escrito en Objective-C que se hace pasar por Finder, el gestor de archivos predeterminado de macOS. Este backdoor se instala mediante m\u00faltiples mecanismos de persistencia: un LaunchAgent, modificaciones en el archivo .zshrc<\/code>codecode y hooks globales de Git. Adem\u00e1s, el malware termina los procesos de notificaci\u00f3n de macOS para evitar que el usuario reciba alertas sobre la actividad sospechosa.<\/p>\n

Una vez establecido, el backdoor puede ejecutar AppleScripts recibidos desde su servidor de comando y control. Entre sus capacidades documentadas se incluyen:<\/p>\n

    \n
  • Desplegar extensiones de navegador o reemplazar la aplicaci\u00f3n leg\u00edtima Ledger Wallet por versiones controladas por el atacante, comprometiendo directamente la seguridad de criptoactivos.<\/li>\n
  • Recolectar informaci\u00f3n adicional del sistema y archivos, y subirlos al servidor C2.<\/li>\n
  • Verificar y restablecer la persistencia tras un reinicio del sistema.<\/li>\n
  • Ejecutar un comando misterioso denominado live_browser<\/code>codecode, que descarga e inicia un componente llamado sn_relay<\/code>codecode cuya funcionalidad concreta Kaspersky no pudo determinar.<\/li>\n<\/ul>\n

    La capacidad de ejecutar AppleScript arbitrario proporciona a los atacantes una flexibilidad enorme para interactuar con el sistema operativo, automatizar acciones maliciosas y potencialmente evadir controles de seguridad que no monitoricen este tipo de scripts.<\/p>\n

    Funcionalidades del m\u00f3dulo infostealer<\/h3>\n

    El m\u00f3dulo de robo de informaci\u00f3n, aunque menos novedoso, sigue siendo altamente efectivo. Sus objetivos incluyen un amplio espectro de datos sensibles:<\/p>\n

      \n
    • Historial de navegaci\u00f3n, cookies y credenciales guardadas en los principales navegadores.<\/li>\n
    • Datos de extensiones de wallets de criptomonedas y aplicaciones nativas de cripto.<\/li>\n
    • Datos de Telegram, archivos de Keychain de macOS.<\/li>\n
    • Informaci\u00f3n del sistema y del dispositivo.<\/li>\n
    • Archivos de configuraci\u00f3n de SSH, AWS, Kubernetes y Git.<\/li>\n
    • Archivos de configuraci\u00f3n del shell.<\/li>\n<\/ul>\n

      Este enfoque integral permite a los atacantes recopilar credenciales de acceso a servicios en la nube, claves privadas de criptomonedas y tokens de autenticaci\u00f3n, lo que multiplica el impacto potencial de una infecci\u00f3n.<\/p>\n

      Implicaciones para la seguridad de macOS y la industria<\/h2>\n

      La adopci\u00f3n de iCloud Calendar como canal de comando y control marca un hito en la evoluci\u00f3n del malware para macOS. Durante a\u00f1os, los sistemas de Apple han gozado de una percepci\u00f3n de seguridad superior, pero campa\u00f1as como esta demuestran que los atacantes est\u00e1n dispuestos a invertir recursos en desarrollar t\u00e9cnicas de evasi\u00f3n espec\u00edficas para la plataforma.<\/p>\n

      El uso de servicios leg\u00edtimos de Apple como infraestructura de ataque presenta desaf\u00edos particulares para la detecci\u00f3n, ya que el tr\u00e1fico hacia iCloud es considerado normal y necesario para el funcionamiento del ecosistema Apple. Las soluciones de seguridad tradicionales basadas en listas negras de dominios o IPs ser\u00e1n ineficaces contra este tipo de ataques.<\/p>\n

      Los investigadores de Kaspersky observaron que el malware MacSync contin\u00faa evolucionando. La aparici\u00f3n de comandos como live_browser<\/code>codecode y sn_relay<\/code>codecode, cuya funci\u00f3n exacta no ha sido determinada, sugiere que los desarrolladores est\u00e1n probando nuevas capacidades que podr\u00edan desplegarse en futuras variantes. La modularidad del c\u00f3digo permite a\u00f1adir funcionalidades sin necesidad de reescribir el n\u00facleo del malware.<\/p>\n

      Recomendaciones pr\u00e1cticas para usuarios de macOS<\/h3>\n

      Ante esta amenaza evolutiva, las recomendaciones de seguridad son claras y deben aplicarse de forma rigurosa. La primera y m\u00e1s importante es no ejecutar comandos encontrados en l\u00ednea, especialmente aquellos que se presentan como soluci\u00f3n a problemas de software o mensajes de error. Las campa\u00f1as ClickFix explotan precisamente la tendencia del usuario a seguir instrucciones sin cuestionar su origen.<\/p>\n

      Tambi\u00e9n es fundamental evitar descargar archivos DMG desde sitios sospechosos o no verificados. La falsa wallet Toria demuestra c\u00f3mo los atacantes invierten en crear sitios web y promoci\u00f3n en redes sociales para ganar legitimidad aparente. Cualquier descarga de software, especialmente si promete funcionalidades gratuitas o crackeadas, debe ser examinada con escepticismo.<\/p>\n

      Las solicitudes de contrase\u00f1a de administrador deben tratarse con especial precauci\u00f3n. El malware MacSync genera ventanas de solicitud de contrase\u00f1a que imitan las leg\u00edtimas de macOS. Si una aplicaci\u00f3n solicita la contrase\u00f1a de administrador sin una raz\u00f3n clara y verificable, el usuario deber\u00eda denegar el permiso y cerrar la aplicaci\u00f3n.<\/p>\n

      Finalmente, mantener actualizado macOS y las herramientas de seguridad, as\u00ed como considerar soluciones de protecci\u00f3n espec\u00edficas contra amenazas de macOS, puede ayudar a detectar comportamientos an\u00f3malos como el acceso inusual a servicios de iCloud o la modificaci\u00f3n de procesos del sistema.<\/p>\n

      La evoluci\u00f3n de MacSync hacia el uso de calendarios p\u00fablicos de iCloud como vector de distribuci\u00f3n subraya una tendencia m\u00e1s amplia en el cibercrimen: la explotaci\u00f3n de servicios leg\u00edtimos y de confianza para canalizar actividades maliciosas. Para los defensores, esto significa que las estrategias de detecci\u00f3n deben evolucionar m\u00e1s all\u00e1 del an\u00e1lisis de tr\u00e1fico hacia la observaci\u00f3n de comportamientos an\u00f3malos dentro de flujos de datos que, a priori, son normales. La plataforma macOS, durante mucho tiempo considerada un blanco menor frente a Windows, se ha convertido en un objetivo cada vez m\u00e1s atractivo para actores de amenazas que desarrollan t\u00e9cnicas espec\u00edficas y persistentes. MacSync es solo un ejemplo de lo que probablemente ser\u00e1 una tendencia creciente en los pr\u00f3ximos a\u00f1os.<\/p>\n","protected":false},"excerpt":{"rendered":"

      Una nueva variante del malware infostealer MacSync ha dado un salto cualitativo en su capacidad de evasi\u00f3n: ahora utiliza eventos de calendarios p\u00fablicos de iCloud como canal de comando y control para distribuir payloads adicionales. Este hallazgo, reportado por investigadores de Kaspersky, representa una evoluci\u00f3n significativa en las t\u00e1cticas de los operadores de malware dirigido […]<\/p>\n","protected":false},"author":2,"featured_media":69774,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/69771.png","fifu_image_alt":"MacSync aprovecha calendarios p\u00fablicos de iCloud para distribuir payloads","footnotes":""},"categories":[5],"tags":[],"class_list":["post-69771","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/69771.png","fifu_image_alt":"MacSync aprovecha calendarios p\u00fablicos de iCloud para distribuir payloads","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/69771","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=69771"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/69771\/revisions"}],"predecessor-version":[{"id":69772,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/69771\/revisions\/69772"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/69774"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=69771"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=69771"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=69771"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}