MacSync Stealer: Malware notariado por Apple elude Gatekeeper - Guía de seguridad completa 2025

macOSTahoe ·
MacSync Stealer: Malware notariado por Apple elude Gatekeeper - Guía de seguridad completa 2025

Análisis de seguridad completo del malware MacSync Stealer que elude macOS Gatekeeper a través del proceso de notarización de Apple. Aprende métodos de detección, pasos de eliminación y estrategias de protección contra esta sofisticada amenaza de macOS.

Ha surgido una nueva y sofisticada variante del malware MacSync Stealer que explota la propia infraestructura de seguridad de Apple para eludir las protecciones de Gatekeeper. Descubierta por Jamf Threat Labs en diciembre de 2025, esta amenaza representa una evolución significativa en la distribución de malware de macOS, utilizando aplicaciones firmadas y notariadas por Apple para evadir la detección y robar datos sensibles, incluyendo billeteras de criptomonedas, credenciales del navegador e información del sistema.

MacSync Stealer Security Threat

Resumen ejecutivo: La amenaza MacSync Stealer

Alerta de seguridad crítica

MacSync Stealer representa una de las amenazas de malware de macOS más sofisticadas de 2025, explotando una debilidad fundamental en la arquitectura de seguridad de Apple. A diferencia del malware anterior que dependía de engañar a los usuarios para eludir las advertencias de seguridad, esta variante pasa todas las comprobaciones de Gatekeeper y XProtect porque lleva una notarización legítima de Apple.

Características clave de la amenaza:

  • Notariado por Apple: Pasa las comprobaciones de seguridad de Gatekeeper sin advertencias
  • Código firmado: Utiliza un Developer ID válido (Team ID: GNJLS3UYZ4, ahora revocado)
  • Carga útil de múltiples etapas: El binario inicial es benigno; la carga útil maliciosa se entrega después de la instalación
  • Robo de datos completo: Apunta a navegadores, billeteras de criptomonedas, Keychain y Telegram
  • Capacidad de puerta trasera: Incluye una puerta trasera basada en Go para acceso persistente

Quién está en riesgo:

  • Titulares y comerciantes de criptomonedas
  • Usuarios que descargan software de fuentes no oficiales
  • Entornos empresariales sin protección avanzada de endpoints
  • Cualquiera que confíe en las aplicaciones únicamente basándose en la aprobación de Gatekeeper

El creciente panorama de malware en macOS

La aparición de MacSync Stealer ocurre en un contexto de amenazas de macOS que aumentan rápidamente:

Métrica2024 vs 2025
Crecimiento de amenazas de macOSAumento del 400% (Red Canary)
Detecciones de malware AMOSPico del 300% en agosto de 2025
Aumento de ataques ClickFixAumento del 517% en el primer semestre de 2025
Usuarios de Mac que encuentran amenazasEl 66% experimentó al menos una amenaza cibernética
Alcance global de la campaña AMOS120+ países

El precio de entrada para el malware de robo en Mac ha bajado de $3,000 a $1,000 por mes, haciendo que estas herramientas sean accesibles para una gama más amplia de ciberdelincuentes.

Análisis técnico: Cómo funciona MacSync Stealer

Orígenes y evolución

MacSync Stealer surgió como un cambio de marca del "mac.c stealer", que apareció por primera vez en abril de 2025 bajo el actor de amenazas "Mentalpositive". El malware fue posteriormente adquirido y mejorado significativamente por un desarrollador que lo transformó de un ladrón de credenciales básico en una amenaza integral con capacidades de puerta trasera.

Arquitectura técnica:

  • Componente principal: Módulo de robo de datos basado en C
  • Mecanismo de persistencia: Agente de puerta trasera basado en Go con todas las funciones
  • Modelo de distribución: Malware-as-a-Service (MaaS)
  • Precio actual de mercado: $1,000/mes (bajó de $3,000)

La técnica de elusión de notarización

La variante de diciembre de 2025 representa un cambio de paradigma en la distribución de malware de macOS. En lugar de depender de la ingeniería social para eludir las advertencias de seguridad, los atacantes explotan la propia infraestructura de seguridad de Apple.

Flujo de ataque:

1. El atacante crea una aplicación Swift benigna
          ↓
2. La envía a Apple para notarización
          ↓
3. El escaneo automatizado de Apple aprueba (no se detecta malware)
          ↓
4. El atacante recibe el ticket de notarización
          ↓
5. La aplicación se distribuye con una firma válida
          ↓
6. El usuario descarga y abre sin advertencia de Gatekeeper
          ↓
7. Después de la instalación, la aplicación contacta al servidor C2
          ↓
8. Se entrega y ejecuta la carga útil maliciosa
          ↓
9. Comienza la exfiltración de datos

Por qué este ataque tiene éxito:

El proceso de notarización de Apple evalúa lo que existe en el momento del envío, no el comportamiento en tiempo de ejecución. El investigador de seguridad Jeff Johnson (Lapcat Software) explica: "El servicio de notarización de Apple busca malware, ¡pero los autores de malware no necesitan enviar malware a Apple! Pueden enviar una aplicación perfectamente inocente para notarización... Es imposible para Apple detectar esto de antemano".

Cadena de infección detallada

Etapa 1: Distribución inicial

El malware se distribuye como una imagen de disco llamada zk-call-messenger-installer-3.9.2-lts.dmg, alojada en https://zkcall.net/download. El archivo DMG se infla a 25.5MB utilizando archivos PDF señuelo (documentos relacionados con LibreOffice) para parecer legítimo.

Etapa 2: Validación previa a la ejecución

Al montar, el ejecutable Swift firmado realiza varias comprobaciones:

// Representación simplificada de las comprobaciones previas a la ejecución
func checkInternet() -> Bool {
    // Verificar conectividad de red
    // Evita la ejecución en entornos de sandbox/sin conexión
}

func checkRateLimit() -> Bool {
    // Imponer un intervalo mínimo de 3600 segundos entre ejecuciones
    // Previene el análisis mediante ejecuciones repetidas
}

Etapa 3: Recuperación de la carga útil

Si las comprobaciones pasan, la aplicación:

  1. Obtiene un script bash ofuscado de gatemaden.space
  2. Escribe el script en /tmp/runner con permisos de ejecución
  3. Valida la autenticidad del script mediante inspección de tipo de archivo
  4. Espera: "Paul Falstad's zsh script text executable"

Etapa 4: Ejecución de la carga útil

# Ejecución de carga útil decodificada
base64 -D | gunzip | /bin/zsh -lc
# Evalúa la rutina daemon_function()

Etapa 5: Exfiltración de datos

El malware se comunica con focusgroovy.com para operaciones de robo de credenciales:

  • Muestra un aviso de contraseña falso para recolectar credenciales del sistema
  • Despliega una puerta trasera basada en Go para acceso persistente
  • Exfiltra los datos recopilados a la infraestructura de comando y control

Técnicas de evasión

MacSync Stealer emplea múltiples mecanismos de evasión sofisticados:

TécnicaPropósito
Inflado de DMG con archivos señueloParecer legítimo, eludir heurísticas de tamaño de archivo
Ejecución en memoriaMinimizar artefactos de disco para análisis forense
Comprobaciones de conectividad a InternetEvitar entornos de análisis de sandbox
Eliminación del atributo QuarantineEludir banderas de seguridad de macOS
Validación de script vía /usr/bin/fileAsegurar la integridad de la carga útil
Banderas curl modificadas (-fL, -sS, --noproxy)Evadir monitoreo de red
Limitación de velocidad (intervalos de 3600s)Prevenir análisis automatizado

Qué datos ataca MacSync Stealer

Credenciales y datos del navegador

MacSync Stealer ataca a todos los principales navegadores basados en Chromium:

Navegadores atacados:

  • Google Chrome (incluyendo Beta, Dev, Canary)
  • Brave Browser
  • Microsoft Edge
  • Vivaldi
  • Opera / Opera GX
  • Yandex Browser
  • Arc Browser
  • Chromium

Datos extraídos:

  • Contraseñas guardadas y credenciales de inicio de sesión
  • Cookies del navegador (tokens de sesión para toma de control de cuentas)
  • Datos de autocompletar formularios (direcciones, tarjetas de crédito)
  • Historial de navegación
  • Secretos y configuraciones de extensiones

Billeteras de criptomonedas

El malware apunta específicamente a activos de criptomonedas, reflejando la naturaleza de alto valor de estos datos:

Aplicaciones de billetera independientes:

  • Exodus
  • Electrum
  • Atomic Wallet
  • Guarda
  • Coinomi
  • Sparrow
  • Wasabi
  • Bitcoin Core
  • Litecoin Core
  • Dash Core
  • Dogecoin Core
  • BlueWallet
  • Zengo
  • Trust Wallet
  • Ledger Live
  • Trezor Suite

Billeteras basadas en navegador:

  • MetaMask
  • Coinbase Wallet
  • Phantom
  • Otras billeteras de extensión de navegador

Datos del sistema y de aplicaciones

Acceso a Keychain:

  • Credenciales de iCloud Keychain
  • Contraseñas de Wi-Fi
  • Contraseñas de aplicaciones
  • Certificados almacenados

Apps de comunicación:

  • Datos de sesión de Telegram (permite toma de control total de la cuenta)
  • Credenciales de aplicaciones de mensajería

Información del sistema:

  • Especificaciones de hardware
  • Lista de aplicaciones instaladas
  • Configuraciones de red
  • Versión de macOS y metadatos del sistema

Archivos personales:

  • Documentos e imágenes
  • Datos corporativos/de negocios
  • Archivos de configuración

Indicadores de compromiso (IOCs)

Hashes de archivo (SHA256)

Imágenes de disco:

zk-call-messenger-installer-3.9.2-lts.dmg:
be961ec5b9f4cc501ed5d5b8974b730dabcdf7e279ed4a8c037c67b5b935d51a

co.runtime.helper.b3f9a2.dmg:
4ae745bc0e4631f676b3d0a05d5c74e37bdfc8da3076208b24e73e5bbea9178f

Ejecutables Mach-O (runtimectl):

ecfaa20f25e11878686249c7094706bc3dcd2dc0ace0f2932a39d1bfdac85863
7cfe0b119e616ac81ddb1767a5c7f40bec67d91fdd66e53490c0225789537073
06c74829d8eee3c47e17d01c41361d314f12277d899cc9dfa789fe767c03693e
c4d3e5cdb264eded917cd61b8131c40715c0ee3f4d2c94c84d60fa295ca4ed97
9990457feac0cd85f450e60c268ddf5789ed4ac81022b0d7c3021d7208ebccd3
9d43e059111460c4f81351a062fb7eb7dbfd34988a06d756c7206f330c06cb42

Script de carga útil (runner):

2e671bd9673d174de9b4ad8fd03049859e1d2d17ac9bc49ecc5d736505002937

Indicadores de red

Tipo de indicadorValor
User AgentUserSyncWorker/1.0 (macOS)
Dominio C2focusgroovy.com
Dominio de carga útilgatemaden.space
Dominio de distribuciónzkcall.net
Team ID de desarrolladorGNJLS3UYZ4 (revocado)

Indicadores del sistema de archivos

Archivos temporales:

  • /tmp/runner (carga útil temporal)
  • /tmp/runner.headers (caché de encabezado)

Ubicaciones de persistencia:

  • ~/Library/Logs/UserSyncWorker.log
  • ~/Library/Application Support/UserSyncWorker/

Archivos de seguimiento de tiempo:

  • last_up
  • gate
  • last_update

Patrones de registro

Busca estos patrones en los registros del sistema:

  • "Starting update..."
  • "rate-limit: defer"
  • "preflight: internet="

Métodos de detección

Usando Monitor de Actividad (Activity Monitor)

  1. Abre Aplicaciones > Utilidades > Monitor de Actividad
  2. Haz clic en la pestaña CPU y ordena por uso de % CPU
  3. Busca procesos desconocidos que consuman altos recursos
  4. Busca procesos con nombres similares a "UserSyncWorker"
  5. Selecciona procesos sospechosos y haz clic en 'i' para más información

Activity Monitor Detection

Comandos de Terminal para detección

Verificar conexiones de red:

# Ver conexiones de red activas
netstat -an | grep ESTABLISHED

# Listar procesos con conexiones de red
lsof -i -P | grep ESTABLISHED

Examinar demonios en ejecución:

# Listar todos los agentes y demonios en ejecución
launchctl list

# Verificar servicios XPC sospechosos
launchctl print system

Verificar inicios de sesión anteriores:

# Ver historial de inicio de sesión para acceso no autorizado
last

Buscar archivos IOC:

# Verificar archivos específicos de MacSync
ls -la /tmp/runner* 2>/dev/null
ls -la ~/Library/Logs/UserSyncWorker.log 2>/dev/null
ls -la ~/Library/Application\ Support/UserSyncWorker/ 2>/dev/null

Verificar LaunchAgents:

# Listar LaunchAgents de usuario
ls -la ~/Library/LaunchAgents/

# Listar LaunchAgents del sistema
ls -la /Library/LaunchAgents/

# Listar LaunchDaemons
ls -la /Library/LaunchDaemons/

Nombres de detección de antivirus

Diferentes proveedores de seguridad pueden detectar MacSync Stealer bajo varios nombres:

ProveedorNombre de detección
AvastMacOS:Agent-AYE [PUP]
Combo CleanerTrojan.GenericKD.77251890
KasperskyHEUR:Trojan.OSX.Agent.gen

Guía de eliminación

Pasos de respuesta inmediata

Paso 1: Desconectar de la red

# Desactivar Wi-Fi desde Terminal
networksetup -setairportpower en0 off

O manualmente: Haz clic en el icono de Wi-Fi > Desactivar Wi-Fi

Desconecta los cables Ethernet para evitar más exfiltración de datos.

Paso 2: Arrancar en modo seguro

Para Macs con Apple Silicon:

  1. Apaga tu Mac
  2. Mantén presionado el botón de encendido hasta que aparezca "Cargando opciones de inicio"
  3. Selecciona tu volumen
  4. Mantén presionada la tecla Shift y haz clic en "Continuar en modo seguro"

Para Macs con Intel:

  1. Reinicia tu Mac
  2. Inmediatamente mantén presionada la tecla Shift
  3. Suelta cuando aparezca la ventana de inicio de sesión

Paso 3: Eliminar archivos sospechosos

# Eliminar archivos MacSync conocidos
rm -rf /tmp/runner
rm -rf /tmp/runner.headers
rm -rf ~/Library/Logs/UserSyncWorker.log
rm -rf ~/Library/Application\ Support/UserSyncWorker/

# Verificar y eliminar LaunchAgents sospechosos
# Primero, lístalos para identificar entradas sospechosas
ls -la ~/Library/LaunchAgents/
ls -la /Library/LaunchAgents/
ls -la /Library/LaunchDaemons/

# Eliminar cualquier archivo .plist sospechoso (reemplazar con el nombre de archivo real)
# launchctl unload ~/Library/LaunchAgents/suspicious.plist
# rm ~/Library/LaunchAgents/suspicious.plist

Paso 4: Revisar elementos de inicio de sesión

  1. Abre Ajustes del Sistema > General > Ítems de inicio
  2. Revisa todas las aplicaciones listadas
  3. Elimina cualquier entrada no reconocida haciendo clic en el botón menos (-)

Paso 5: Restablecer navegadores

Para Chrome:

  1. Abre Chrome > Configuración > Restablecer configuración
  2. Haz clic en "Restaurar los valores predeterminados originales de la configuración"
  3. Confirma haciendo clic en "Restablecer configuración"

Para Safari:

  1. Safari > Ajustes > Privacidad > Gestionar datos del sitio web
  2. Eliminar todo
  3. Borrar historial: Safari > Borrar historial > Todo el historial

Para otros navegadores: Sigue procedimientos de restablecimiento similares en la configuración de cada navegador.

Paso 6: Ejecutar escaneo antimalware

Herramientas recomendadas:

  • Combo Cleaner: Eliminación completa de malware para Mac
  • Malwarebytes para Mac: Escaneo gratuito con eliminación de pago
  • Moonlock: Protección nativa de Mac ligera

Paso 7: Cambiar todas las credenciales

Después de la eliminación, inmediatamente:

  • Cambia todas las contraseñas almacenadas en navegadores o Keychain
  • Revoca y regenera tokens 2FA
  • Transfiere criptomonedas a nuevas billeteras con nuevas frases semilla
  • Monitorea cuentas en busca de actividad no autorizada

Estrategias de protección

Seguridad en la descarga de software

Mejores prácticas:

  • Instala aplicaciones solo desde la Mac App Store o sitios web de desarrolladores verificados
  • Evita descargar software de fuentes desconocidas o no oficiales
  • Verifica dos veces las URL antes de descargar (busca errores tipográficos o dominios sospechosos)
  • Ten mucho cuidado con el software "cracked" o instaladores encontrados en foros
  • Verifica las firmas de las aplicaciones antes de la instalación

Cómo verificar firmas de aplicaciones:

  1. Haz clic derecho en la aplicación > Selecciona "Obtener información"
  2. Busca información del Developer ID en la sección "General"
  3. Desconfía de las aplicaciones firmadas por desarrolladores desconocidos

Habilitar funciones de seguridad de macOS

Configuración de Gatekeeper:

  1. Ajustes del Sistema > Privacidad y seguridad
  2. En "Permitir aplicaciones descargadas de", selecciona "App Store y desarrolladores identificados"
  3. Nunca desactives Gatekeeper permanentemente

Mantener XProtect actualizado:

  • XProtect se actualiza automáticamente en segundo plano
  • Asegúrate de que las actualizaciones automáticas estén habilitadas en Ajustes del Sistema

Habilitar FileVault:

  1. Ajustes del Sistema > Privacidad y seguridad > FileVault
  2. Activa FileVault para cifrado de disco completo
  3. Guarda la clave de recuperación de forma segura

Mantener SIP habilitado:

  • La protección de integridad del sistema (System Integrity Protection) debe permanecer habilitada
  • Nunca desactives SIP a menos que sea absolutamente necesario para tareas de desarrollo específicas

Mejores prácticas de seguridad del navegador

  1. Usa un administrador de contraseñas: No confíes en las contraseñas almacenadas en el navegador
  2. Habilita 2FA: Activa la autenticación de dos factores para todas las cuentas críticas
  3. Auditorías regulares de extensiones: Revisa y elimina extensiones de navegador innecesarias
  4. Borrar datos de sesión: Borra periódicamente cookies y datos de sesión
  5. Usa perfiles separados: Crea perfiles de navegador separados para actividades sensibles

Protección de criptomonedas

Uso de billeteras de hardware:

  • Usa billeteras de hardware (Ledger, Trezor) para tenencias significativas
  • Nunca ingreses frases semilla en ningún sitio web o aplicación
  • Verifica las direcciones de la billetera en la pantalla del dispositivo de hardware antes de las transacciones

Seguridad de billeteras de software:

  • Habilita todas las opciones de 2FA disponibles en cuentas de intercambio
  • Usa billeteras multifirma para grandes cantidades
  • Almacena frases de recuperación fuera de línea en múltiples ubicaciones seguras
  • Verifica las descargas de software de billetera solo de fuentes oficiales

Seguridad de transacciones:

  • Siempre verifica las direcciones antes de enviar criptomonedas
  • Usa un dispositivo separado para confirmar transacciones grandes
  • Desconfía de cualquier solicitud para "verificar" o "validar" tu billetera

Recomendaciones de seguridad empresarial

Protección de endpoints:

  • Implementa soluciones EDR como Jamf Protect, CrowdStrike o SentinelOne
  • Habilita controles de amenazas avanzados en "modo de bloqueo"
  • Implementa listas blancas de aplicaciones donde sea posible

Configuración de MDM:

  • Usa la gestión de dispositivos móviles (MDM) para una política de seguridad centralizada
  • Restringe la instalación de software a fuentes aprobadas
  • Habilita actualizaciones de seguridad automáticas

Capacitación de usuarios:

  • Realiza capacitaciones regulares de concienciación sobre seguridad
  • Enfatiza los riesgos de descargar software de fuentes no oficiales
  • Establece procedimientos claros de reporte para actividades sospechosas

Seguridad de red:

  • Implementa filtrado DNS para bloquear dominios maliciosos conocidos
  • Monitorea el tráfico de red en busca de comunicaciones C2 sospechosas
  • Segmenta la red para limitar el movimiento lateral

La respuesta de Apple e implicaciones de seguridad

Acciones tomadas

Tras la divulgación de Jamf Threat Labs:

  • Apple revocó el certificado asociado con el Team ID de desarrollador GNJLS3UYZ4
  • El certificado de firma específico ya no es válido para nuevas instalaciones

Limitación importante: Los hashes de directorio de código no se incluyeron en la lista de revocación de Apple en el momento de la publicación del informe de Jamf, lo que significa que algunas variantes aún pueden ejecutarse en sistemas que las permitieron anteriormente.

El desafío de seguridad fundamental

El caso MacSync expone una debilidad fundamental en la arquitectura de seguridad de Apple:

Limitación de diseño: La notarización evalúa los envíos en un momento dado, no el comportamiento en tiempo de ejecución. Esto crea una ventana de vulnerabilidad inherente.

Análisis de expertos:

El investigador de seguridad Chris Miller señala que Gatekeeper solo verifica los certificados de desarrollador y comprueba las listas de malware conocido cuando se abre una aplicación por primera vez. El malware que pasa la inspección inicial no se detendrá más tarde.

La realidad: El sistema funciona en gran medida según lo diseñado. La firma de código y la notarización nunca tuvieron la intención de garantizar que el software permanezca benigno para siempre, solo que se pueda rastrear y revocar cuando se descubra el abuso. Sin embargo, este enfoque reactivo deja a los usuarios vulnerables durante la brecha de detección.

Qué significa esto para los usuarios

  1. La notarización no es una garantía: Una aplicación notariada aún puede ser maliciosa
  2. Las comprobaciones de primera ejecución no son suficientes: El malware puede activarse después de la aprobación inicial
  3. La vigilancia sigue siendo esencial: Los usuarios deben mantener la conciencia de seguridad independientemente de la aprobación de Gatekeeper
  4. Defensa en profundidad: Se necesitan múltiples capas de seguridad para una protección integral

Amenazas de macOS relacionadas

AMOS (Atomic macOS Stealer)

El malware de Mac más frecuente en el mundo subterráneo cibercriminal durante tres años:

  • Activo desde abril de 2023
  • La actualización de 2025 agregó una puerta trasera integrada para acceso persistente
  • Segundo caso conocido de despliegue de puerta trasera a escala global (después de piratas informáticos norcoreanos)
  • Apunta a categorías de datos similares a MacSync

Nova Stealer

Surgió en noviembre de 2025:

  • Se centra principalmente en el robo de criptomonedas
  • Se hace pasar por software de billetera legítimo (Ledger Live, Trezor Suite)
  • Utiliza ingeniería social para obtener acceso inicial

Cthulhu Stealer

Otro ladrón de información activo con:

  • Capacidades de robo de datos similares
  • Enfoque principal en credenciales del navegador y criptomonedas
  • Métodos de distribución diferentes pero impacto comparable

Soluciones de seguridad recomendadas

Para usuarios individuales

SoluciónPrecioCaracterísticas clave
Moonlock$37.80/añoLigero, nativo de Mac, protección en tiempo real
MalwarebytesGratis (básico) / $44.99/añoEscaneo bajo demanda, tiempo real (pago)
Intego VirusBarrier$49.99/añoSuite de seguridad integral para Mac
Combo Cleaner$59.95/añoEliminación de malware, optimización del sistema

Para empresas

SoluciónCaracterísticas clave
Jamf ProtectEDR nativo de macOS, integración MDM, prevención de amenazas
CrowdStrike FalconEDR multiplataforma, inteligencia de amenazas
Microsoft Defender for EndpointSeguridad unificada, integración con Azure
SentinelOneDetección impulsada por IA, respuesta automatizada
Trellix Endpoint SecurityProtección de grado empresarial, gestión de políticas

Conclusión: Mantenerse seguro en un panorama de amenazas en evolución

La variante MacSync Stealer descubierta en diciembre de 2025 representa una evolución significativa en la sofisticación del malware de macOS. Al explotar el proceso de notarización de Apple, los atacantes han encontrado una forma de distribuir malware que elude las medidas de seguridad en las que confían la mayoría de los usuarios.

Puntos clave:

  1. Confía pero verifica: La notarización de Apple no es una garantía de seguridad. Siempre verifica la fuente y la legitimidad del software antes de la instalación.

  2. Defensa en profundidad: Confía en múltiples capas de seguridad: Gatekeeper, XProtect, antimalware de terceros y mejores prácticas de seguridad.

  3. Vigilancia de criptomonedas: Si tienes criptomonedas, usa billeteras de hardware y nunca expongas frases semilla a ningún software.

  4. Mantente actualizado: Mantén macOS, las definiciones de seguridad y todas las aplicaciones actualizadas para beneficiarte de las últimas protecciones.

  5. Reporta actividad sospechosa: Si encuentras un presunto malware, repórtalo a Apple y a los investigadores de seguridad para ayudar a proteger a la comunidad.

El panorama de amenazas de macOS continúa evolucionando rápidamente. Si bien las Mac siguen siendo generalmente seguras en comparación con otras plataformas, la creciente sofisticación de amenazas como MacSync Stealer demuestra que ningún sistema es inmune. Mantener la conciencia, seguir las mejores prácticas de seguridad y usar herramientas de seguridad adecuadas son esenciales para proteger tus datos y activos digitales.

Preguntas frecuentes (FAQ)

¿Cómo sé si mi Mac está infectada con MacSync Stealer?

Busca estos indicadores:

  • Archivos en /tmp/runner o ~/Library/Application Support/UserSyncWorker/
  • Procesos inusuales llamados "UserSyncWorker" en Monitor de Actividad
  • Conexiones de red inesperadas a dominios desconocidos
  • Criptomonedas faltantes o acceso no autorizado a la cuenta

¿Puede MacSync Stealer robar mis contraseñas de iCloud Keychain?

Sí, MacSync Stealer puede acceder a los datos de Keychain si obtiene tu contraseña del sistema a través de su aviso de contraseña falso. Es por eso que nunca debes ingresar tu contraseña en cuadros de diálogo inesperados.

¿XProtect de Apple protege contra MacSync Stealer?

XProtect puede detectar variantes conocidas después de que Apple actualice sus definiciones. Sin embargo, las nuevas variantes pueden evadir la detección hasta que se actualicen las firmas. Es por eso que se recomiendan medidas de seguridad adicionales.

¿Debería dejar de usar Mac debido a este malware?

No. Si bien MacSync Stealer es sofisticado, las Mac siguen siendo seguras cuando los usuarios siguen las mejores prácticas. La clave es la conciencia y una higiene de seguridad adecuada: descargar software solo de fuentes confiables, usar contraseñas seguras y mantener el software de seguridad actualizado.

¿Cómo puedo proteger mis criptomonedas del malware de Mac?

  • Usa billeteras de hardware para tenencias significativas
  • Nunca ingreses frases semilla en ninguna aplicación o sitio web
  • Habilita 2FA en todas las cuentas de intercambio
  • Verifica todas las transacciones en un dispositivo separado
  • Considera usar un dispositivo dedicado para actividades de criptomonedas

¿Mi empresa está en riesgo por MacSync Stealer?

Sí, especialmente si los empleados descargan software de fuentes no oficiales. Implementa soluciones MDM, despliega protección de endpoints, realiza capacitaciones de concienciación sobre seguridad y establece políticas claras para la instalación de software.

Última actualización: 30 de diciembre de 2025

Para recursos de seguridad adicionales y guías de protección de macOS, explora nuestra Categoría de Seguridad o consulta nuestra Guía completa de seguridad y privacidad de macOS Tahoe.