Desde siempre, los usuarios de Mac confiaron en que su sistema operativo los mantendría a salvo. Esa tranquilidad proviene más que nada del control estricto de Apple sobre su ecosistema y del hecho de que históricamente macOS se enfrentó a menos ataques masivos que Windows. Sin embargo, eso no significa que las Mac sean invulnerables: las amenazas existen y surgen nuevas todo el tiempo. En las últimas semanas, algunos investigadores de seguridad publicaron informes sobre al menos dos nuevas campañas dirigidas a dispositivos Apple.
El malware utilizado en una de las campañas se denominó CrashStealer, mientras que el otro se conoce como ClickLock. Ambos utilizan diferentes trucos para obligar a los usuarios a ingresar la contraseña de su Mac, que luego los atacantes usan para robar credenciales de cuenta, criptoactivos, documentos y mucho más. En la publicación de hoy, veremos de cerca cómo funciona CrashStealer y cómo evitar ser una víctima.
Una aplicación de videoconferencia con CrashStealer dentro de ella
Fue en mayo de 2026 cuando los investigadores detectaron las primeras señales de que este malware se estaba desarrollando y, a principios de julio, lo detectaron puesto en práctica. El malware se ganó su nombre debido a su mecanismo central: pretende ser la herramienta de informes de fallas integrada de macOS (CrashReporter) mientras opera como un ladrón de información diseñado para robar datos confidenciales.
Los investigadores lograron rastrear uno de los sitios web que los usuarios visitaron para descargar el malware. El sitio se hace pasar por una plataforma legítima para distribuir la herramienta de videoconferencia Werkbit.
Según los investigadores, este es el sitio que las víctimas usaban para descargar Werkbit, que contenía en secreto el cargador de malware CrashStealer. Fuente
Sin embargo, no puedes simplemente visitar el sitio y descargar el software. Antes de la descarga, se les pide a los visitantes que ingresen un PIN de reunión especial. Seguramente esta trampa les permita a los atacantes limitar el alcance de la distribución al apuntar solo a víctimas específicas y preseleccionadas. Se desconoce exactamente cómo eligen sus objetivos y envían el PIN.
Los usuarios “afortunados” que tienen un código terminan instalando la carga maliciosa inicial, llamada Werkbit Setup. Lo curioso es que tiene un certificado de desarrollador de Apple válido y superó con éxito su proceso de notarización, lo que significa que pasó el análisis previo automatizado en busca de código malicioso. Como resultado, los atacantes logran eludir Gatekeeper, la defensa integrada del sistema operativo. Esto permite que la carga se inicie sin activar las advertencias habituales de software no confiable.
El instalador Werkbit Setup está firmado con un certificado de desarrollador de Apple válido y superó el proceso de notarización. Fuente
Una vez iniciado, Werkbit Setup primero se comunica con GitHub. Los investigadores creen que el uso de esta plataforma tan popular ayuda a los atacantes a pasar desapercibidos al hacer que estas solicitudes iniciales de red se vean mucho menos sospechosas para las herramientas de seguridad. Después de recuperar las instrucciones de un repositorio de GitHub, el programa se conecta directamente al servidor de los atacantes para obtener CrashStealer.
Luego, el cargador guarda el malware en una carpeta temporal de macOS, lo inicia y borra la mayoría de los archivos de instalación intermedios. El resultado es un infostealer completamente funcional segundos después de iniciar la instalación de Werkbit. Por cierto, el usuario jamás obtiene la aplicación de videoconferencia.
Cómo funciona CrashStealer
A diferencia del cargador de Werkbit Setup, el malware CrashStealer en sí no está firmado con un certificado de desarrollador de Apple. Para que los usuarios no sospechen nada, el malware se disfraza de la herramienta integrada de informes de fallas de macOS, CrashReporter, y usa exactamente el mismo nombre, el identificador de la aplicación y un ícono similar.
Una vez que se inicia, CrashStealer completa una secuencia de pasos para acceder a datos confidenciales, establecer persistencia en el sistema y borrar su rastro:
- Elimina metadatos, incluido el atributo que marca la aplicación como una descarga de Internet.
- Muestra un mensaje del sistema falso que solicita la contraseña de macOS del usuario.
- Usa las credenciales recopiladas anteriormente para obtener acceso a Keychain, el administrador de contraseñas integrado de macOS.
- Revisa el equipo en busca de las herramientas de seguridad instaladas y el software de análisis de malware.
- Recopila contraseñas guardadas del navegador, cookies, contenidos de Keychain y datos de otros administradores de contraseñas y monederos criptográficos.
- Cifra los datos que robó y los prepara para reenviarlos al servidor de los atacantes.
- Crea una copia de sí mismo y establece la persistencia para iniciarse automáticamente cada vez que se inicie macOS.
- Elimina los archivos temporales y otros rastros de instalación para que la detección sea mucho más difícil.
El paso dos merece un análisis más detallado. La solicitud de contraseña que le aparece al usuario se ve extremadamente convincente. Además, el malware verifica inmediatamente si las credenciales son correctas: si cometes un error de escritura e ingresas una contraseña no válida, CrashStealer volverá a mostrarte la ventana para preguntarte de nuevo.
Una vez que se inicia, CrashStealer muestra una ventana emergente que imita la solicitud de contraseña típica de macOS. Fuente
¿Qué datos busca CrashStealer?
La lista de objetivos de CrashStealer es enorme. En primer lugar, sus operadores apuntan a Keychain: el administrador de contraseñas integrado de macOS donde el sistema almacena credenciales de cuentas, claves criptográficas, certificados, tokens y más.
Los usuarios de administradores de contraseñas de terceros tampoco están seguros, porque el malware roba datos de 14 de estos servicios, incluidos 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass, Enpass y RoboForm.
Además, el malware recopila todas las credenciales y las cookies almacenadas en los navegadores basados en Chromium (Chrome, Brave, Edge, Opera, Opera GX, Vivaldi, Chromium y NAVER Whale), así como en Firefox. Los atacantes claramente tienen un gran interés en los criptoactivos: CrashStealer apunta específicamente a datos de 80 extensiones de monederos criptográficos diferentes, incluidas MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Rabby, Exodus, Keplr y Solflare.
Finalmente, el malware analiza las carpetas Documentos y Descargas para seleccionar archivos que puedan ser de interés para los ciberdelincuentes. CrashStealer cifra todos los datos robados con el algoritmo AES-256-GCM, los comprime y los envía al servidor de los atacantes.
Cómo proteger tu dispositivo
El aumento en los ataques a macOS es una clara llamada de atención: los usuarios de Apple deben ser proactivos con respecto a su seguridad. Recomendamos lo siguiente:
- Investigar las apps en línea antes de instalarlas.
- Usar las utilidades de las tiendas de aplicaciones oficiales siempre que sea posible.
- Usar una solución de seguridad confiable que bloquee sitios web maliciosos y detenga la actividad de malware en tu dispositivo.
- Mantener todas tus credenciales y datos bancarios en un administrador de contraseñas seguro. Una opción es Kaspersky Password Manager (que, notablemente, no figuraba entre las aplicaciones objetivo de CrashStealer).
Las soluciones de seguridad de Kaspersky detectan el malware descrito en esta publicación y le asignan los veredictos HEUR:Trojan-Downloader.OSX.Agent.gen y HEUR:Trojan-PSW.OSX.Agent.gen.