Una nueva amenaza acecha al ecosistema de Apple
Recientemente, investigadores de seguridad de Jamf Threat Labs han identificado una sofisticada pieza de malware denominada PamStealer. Este software malicioso, diseñado específicamente para sistemas macOS, destaca por su capacidad para sustraer contraseñas de inicio de sesión y datos sensibles mediante técnicas de ingeniería social y el uso de herramientas nativas del sistema.
El vector de ataque: Typosquatting y suplantación
La infección comienza con una técnica clásica pero efectiva: el typosquatting. Los atacantes han registrado dominios que imitan casi a la perfección al sitio oficial de Maccy, un popular gestor de portapapeles de código abierto. Al descargar una versión fraudulenta de la aplicación, el usuario recibe un archivo AppleScript (.scpt) compilado que inicia la cadena de infección.
Análisis técnico: De AppleScript a Rust
PamStealer opera en dos etapas principales que demuestran la evolución de los ‘infostealers’ modernos:
- Primera etapa: Un script que realiza un «fingerprinting» o reconocimiento del sistema. Curiosamente, el malware está optimizado para ejecutarse en dispositivos con Apple Silicon y detiene su ejecución si detecta que el entorno es una máquina virtual o si la ubicación del sistema corresponde a ciertos países de Europa del Este.
- Segunda etapa: Una vez superadas las comprobaciones, se descarga un binario escrito en Rust. Este lenguaje de programación es cada vez más popular entre los desarrolladores de malware debido a su rendimiento y a la dificultad que presenta para ser analizado por herramientas de seguridad tradicionales.
El uso de PAM para validar contraseñas
Lo que otorga su nombre a este malware es su interacción con los Pluggable Authentication Modules (PAM) de macOS. PamStealer despliega un aviso de contraseña falso pero de apariencia nativa. Cuando el usuario introduce su clave, el malware utiliza la API de PAM para validar en tiempo real si la contraseña es correcta. Si no lo es, vuelve a solicitarla hasta obtener la credencial válida, asegurando así que los datos exfiltrados sean útiles para los atacantes.
Impacto y persistencia
Una vez que el malware obtiene el control, sus objetivos principales son:
- Extracción de datos de navegadores web e historial.
- Robo de carteras de criptomonedas (extensiones de navegador).
- Acceso al iCloud Keychain (Llavero de iCloud).
- Captura del contenido del portapapeles.
Para garantizar su permanencia en el equipo, el malware se hace pasar por los Ajustes del Sistema y muestra un mensaje de error falso indicando que la aplicación está dañada, instando al usuario a borrarla. Para ese momento, el robo de datos ya se ha completado y el malware ha establecido mecanismos de persistencia.
Recomendaciones de seguridad para empresas
Desde el punto de vista de la ciberseguridad corporativa, es fundamental reforzar las siguientes prácticas:
- Verificar las fuentes de descarga: Asegurarse siempre de que el software provenga de sitios web oficiales o de la App Store de Apple.
- Educación en ciberseguridad: Formar a los empleados para identificar señales de suplantación de identidad y comportamientos anómalos en sus dispositivos.
- Implementar soluciones EDR: El uso de herramientas de detección y respuesta en los puntos finales (EDR) puede ayudar a identificar ejecuciones de scripts sospechosos que intentan evadir Gatekeeper.
Fuentes
- The Hacker News — PamStealer Uses Fake Maccy Sites and PAM Checks to Steal Mac Login Passwords
https://thehackernews.com/2026/07/pamstealer-uses-fake-maccy-sites-and.html