Informació de Python de macOS

Els especialistes en ciberseguretat estan donant l'alerta sobre una ràpida expansió dels atacs de robatori d'informació més enllà de Microsoft Windows als ecosistemes Apple macOS. Els actors amenaçadors confien cada cop més en llenguatges multiplataforma com ara Python i abusen de serveis de confiança i plataformes publicitàries per distribuir programari maliciós a gran escala, ampliant significativament la superfície d'atac.

L’enginyeria social impulsa les campanyes de macOS Infostealer

Des de finals del 2025, diverses campanyes s'han dirigit als usuaris de macOS mitjançant tècniques d'enginyeria social, sobretot ClickFix. Aquestes operacions distribueixen instal·ladors d'imatges de disc malicioses (DMG) que implementen famílies conegudes de lladres d'informació de macOS, com ara Atomic macOS Stealer (AMOS), MacSync i DigitStealer. El lliurament sovint depèn de convèncer els usuaris perquè iniciïn manualment el procés d'infecció ells mateixos.

Abús natiu de macOS i robatori furtiu de dades

Un cop executades, aquestes amenaces sovint es basen en tècniques sense fitxers, utilitats natives de macOS i automatització d'AppleScript per evadir la detecció i optimitzar la recopilació de dades. La informació robada sol incloure credencials i dades de sessió emmagatzemades al navegador, entrades sensibles del clauer d'iCloud i secrets relacionats amb els desenvolupadors que poden permetre un major compromís.

Publicitat maliciosa com a vector d’accés inicial

Moltes d'aquestes cadenes d'atac comencen amb anuncis maliciosos, que sovint es publiquen a través de Google Ads. Els usuaris que busquen programari legítim, com ara utilitats DynamicLake o eines d'intel·ligència artificial, són redirigits a llocs web falsos. Aquests llocs utilitzen esquers ClickFix que indiquen a les víctimes que segueixin ordres de copiar i enganxar o indicacions de l'instal·lador, cosa que resulta en un desplegament de programari maliciós autoinfligit.

Els lladres de Python permeten una adaptació ràpida

Els lladres d'informació basats en Python són particularment atractius per als atacants per la seva flexibilitat i facilitat de reutilització en diferents sistemes operatius. Aquestes amenaces es distribueixen habitualment a través de correus electrònics de phishing i estan dissenyades per obtenir una àmplia gamma d'actius sensibles, com ara:

Credencials d'inici de sessió, galetes de sessió, tokens d'autenticació, detalls de la targeta de crèdit i dades de la cartera de criptomonedes

PXA Stealer i abús d’aplicacions de missatgeria

Un exemple notable és PXA Stealer, atribuït a actors d'amenaces de parla vietnamita. Les campanyes documentades de l'octubre i el desembre de 2025 es basaven en correus electrònics de phishing per a l'accés inicial i aprofitaven les claus d'execució del registre o les tasques programades per mantenir la persistència. Telegram es va utilitzar per a comunicacions de comandament i control i exfiltració de dades. Per separat, els actors d'amenaces també han convertit en armes plataformes de missatgeria populars com WhatsApp per distribuir programari maliciós com Eternidade Stealer, dirigit a comptes financers i de criptomoneda, una campanya revelada públicament el novembre de 2025.

Intoxicació SEO i programari fals a Windows

L'activitat dels lladres d'informació no es limita a macOS. Campanyes paral·leles han utilitzat editors de PDF falsos, com ara Crystal PDF, promoguts mitjançant publicitat maliciosa i enverinament per optimització de motors de cerca. Aquests atacs centrats en Windows implementen lladres de credencials capaços d'extreure silenciosament galetes, informació de sessió i credencials emmagatzemades a la memòria cau de Mozilla Firefox i Google Chrome.

Mesures defensives contra les operacions de robatori d’informació

Per reduir l'exposició a les amenaces de robatori d'informació, s'anima les organitzacions a implementar defenses per capes i iniciatives de conscienciació dels usuaris, com ara:

• Formació d'usuaris per reconèixer cadenes de redireccions de publicitat maliciosa, instal·ladors fraudulents i indicacions d'estil ClickFix.
• Monitorització de l'activitat inusual del terminal, l'accés no autoritzat al clauer de l'iCloud i les sol·licituds POST sospitoses de sortida a dominis recentment registrats o anòmales.

Impacte empresarial del compromís d’un lladre d’informació

Les infeccions reeixides per infostealers poden tenir conseqüències de gran abast. El robatori de credencials i dades de sessió pot permetre filtracions de dades, accés no autoritzat a sistemes interns, comprometre el correu electrònic empresarial, intrusions a la cadena de subministrament i atacs posteriors com ara implementacions de ransomware. La detecció i l'educació proactives continuen sent fonamentals per limitar aquests riscos.