AmnesiaStealer: Nuevo malware para macOS roba credenciales y controla sesiones de navegador
Introducción
La aparición de nuevas familias de malware para macOS sigue desafiando la percepción de seguridad del ecosistema Apple, tradicionalmente considerado menos vulnerable que otros sistemas operativos. Recientemente, investigadores de ciberseguridad han detectado una amenaza emergente denominada AmnesiaStealer, un infostealer desarrollado en Rust que apunta de forma específica a usuarios de macOS. Este malware no solo exfiltra credenciales y datos sensibles, sino que también tiene la capacidad de secuestrar sesiones de navegador, ampliando su superficie de ataque y el potencial impacto sobre usuarios y empresas.
Contexto del Incidente
El descubrimiento de AmnesiaStealer se produce en un contexto de incremento sostenido de amenazas dirigidas a sistemas macOS. Si bien Windows sigue siendo el principal objetivo de los desarrolladores de malware, los actores maliciosos están diversificando sus herramientas ante la creciente adopción de dispositivos Apple en entornos corporativos y de alto valor. Según el último informe de Malwarebytes, los ataques a macOS han aumentado un 30% en el último año, con especial énfasis en troyanos de acceso remoto (RAT), infostealers y adware avanzado.
AmnesiaStealer destaca al estar desarrollado en Rust, un lenguaje que facilita la portabilidad y la evasión de mecanismos tradicionales de detección basados en firmas. El malware ha sido distribuido principalmente a través de campañas de phishing y descargas de aplicaciones comprometidas, aprovechando la ingeniería social y la falta de concienciación en torno a la ciberseguridad en el ecosistema Apple.
Detalles Técnicos
AmnesiaStealer es un infostealer multiplataforma que utiliza técnicas avanzadas para recopilar y exfiltrar información sensible de sistemas macOS. Su funcionalidad principal incluye:
– Robo de contraseñas almacenadas y llaveros de macOS (Keychain).
– Extracción de historial, credenciales y cookies de navegadores basados en Chromium (Google Chrome, Brave, Edge) y Safari.
– Secuestro de sesiones de navegador mediante la manipulación de cookies, permitiendo el control de sesiones autenticadas sin necesidad de credenciales explícitas.
El malware se distribuye como un binario Mach-O firmado con certificados de desarrollador robados o revocados, para eludir Gatekeeper y XProtect. Una vez ejecutado, AmnesiaStealer utiliza llamadas a la API de macOS para acceder al contenido del llavero y a los archivos de configuración de los navegadores. Los datos exfiltrados se comprimen y cifran antes de ser enviados mediante peticiones POST HTTPS a servidores C2 controlados por los atacantes.
No se ha asignado aún un identificador CVE específico, puesto que las técnicas empleadas explotan principalmente la ingeniería social y el abuso de permisos legítimos del usuario. Entre los TTP (Tactics, Techniques, and Procedures) identificados, destacan T1555 (Credentials from Password Stores), T1056 (Input Capture) y T1567 (Exfiltration Over Web Service) del marco MITRE ATT&CK. Los principales indicadores de compromiso (IoC) incluyen hashes de archivos, dominios C2 y artefactos en rutas como ~/Library/Application Support/Google/Chrome/Default/Login Data.
Impacto y Riesgos
El impacto potencial de AmnesiaStealer es considerable, especialmente en entornos corporativos que emplean macOS para actividades sensibles o gestión de acceso a información crítica. La exfiltración de credenciales, tokens de sesión y datos de llavero puede facilitar ataques de movimiento lateral, escalada de privilegios, y acceso no autorizado a servicios cloud o VPN corporativas.
Además, el secuestro de sesiones de navegador incrementa el riesgo de suplantación de identidad, fraudes financieros y robo de información confidencial. El hecho de que el malware sea capaz de operar bajo cuentas de usuario sin privilegios administrativos amplía la superficie de ataque y dificulta la detección temprana.
Medidas de Mitigación y Recomendaciones
Para mitigar el riesgo asociado a AmnesiaStealer, se recomienda a los equipos de seguridad adoptar las siguientes medidas:
– Mantener actualizados los sistemas macOS y los navegadores, aplicando los últimos parches de seguridad.
– Restringir la instalación de software solo a aplicaciones verificadas y procedentes de la App Store o desarrolladores de confianza.
– Implementar soluciones EDR/XDR con capacidades de análisis de comportamiento específicamente adaptadas a entornos Apple.
– Auditar y monitorizar el acceso al llavero de macOS y los archivos sensibles del usuario.
– Desplegar autenticación multifactor (MFA) en todos los servicios críticos para reducir el impacto del robo de credenciales.
– Formar a los usuarios sobre los riesgos del phishing y la descarga de software no autorizado.
– Actualizar las reglas de detección en SIEM/SOC para incluir los últimos IoC asociados a AmnesiaStealer.
Opinión de Expertos
Analistas de ciberseguridad, como los de SentinelOne y CrowdStrike, advierten que la adopción de Rust en el desarrollo de malware representa una tendencia preocupante. “Rust permite a los atacantes crear payloads altamente portables y resistentes a técnicas de análisis estático tradicionales”, señala un responsable de Threat Intelligence. Asimismo, expertos subrayan que la integración de capacidades de exfiltración de cookies y tokens de sesión representa una evolución en el modelo de ataque tradicional de los infostealers, obligando a reforzar la protección de credenciales y la segmentación de acceso.
Implicaciones para Empresas y Usuarios
La proliferación de amenazas como AmnesiaStealer evidencia la necesidad de que las empresas refuercen sus políticas de seguridad para dispositivos macOS, tradicionalmente relegadas frente a soluciones para Windows. El cumplimiento de normativas como GDPR y NIS2 exige una protección adecuada de los datos personales y la notificación inmediata de incidentes de seguridad, lo que puede tener un impacto económico y reputacional significativo en caso de brechas.
Para los usuarios finales, el riesgo de robo de identidad, fraude y acceso no autorizado a cuentas bancarias o servicios críticos es tangible, especialmente si se reutilizan contraseñas o no se emplean mecanismos de autenticación avanzada.
Conclusiones
La aparición de AmnesiaStealer marca un hito en la evolución del malware dirigido a macOS, combinando técnicas avanzadas de robo de información y control de sesiones de navegador. La utilización de Rust y la sofisticación de los métodos de exfiltración aumentan la dificultad de detección y respuesta. Es imperativo que las organizaciones revisen y refuercen sus estrategias de seguridad para dispositivos Apple, integrando medidas técnicas y formativas, y manteniéndose al día de las amenazas emergentes.
(Fuente: www.securityweek.com)