El nuevo malware MAC posa como actualizaciones del navegador

Un nuevo malware de MacOS llamado FrigidStealer se está extendiendo a través de alertas de actualización del navegador falso, lo que permite a los atacantes robar datos confidenciales, según la investigación de Proofpoint. Esta sofisticada campaña, integrada en sitios legítimos, engaña a los usuarios para evitar medidas de seguridad de MacOS. Una vez instalado, el malware extrae cookies del navegador, contraseñas almacenadas, archivos relacionados con las criptomonedas y Notas de Apple, que potencialmente exponen datos personales y empresariales.

Los dos actores de amenaza recientemente identificados operan partes de estas campañas de inyección web:

• TA2726, que puede actuar como un servicio de distribución de tráfico para otros actores de amenaza.
• TA2727, un grupo que distribuye Frigidstealer y malware para Windows y Android. Pueden usar alertas de actualización falsas para habilitar el malware y son identificables por su uso de sitios web legítimos para enviar alertas de actualización de estafas.

Ambos actores de amenaza venden tráfico y distribuyen malware.

Las actualizaciones falsas de los usuarios de Mac para evitar la seguridad

La estafa de actualización incluye instrucciones engañosas diseñadas para ayudar a los atacantes a evadir las medidas de seguridad de MacOS.

A finales de enero de 2025, Proofpoint encontró que TA2727 utilizó alertas de actualización de estafas para colocar malware que roba información en dispositivos MacOS fuera de los Estados Unidos. La campaña incorpora botones falsos de «actualización» en sitios web seguros, lo que hace que parezca que se requiere una actualización de navegador de rutina. Estas actualizaciones falsas se pueden entregar a través de Safari o Chrome.

Si un usuario hace clic en la alerta de actualización infectada, un archivo DMG se descarga automáticamente. El malware detecta el navegador de la víctima y muestra instrucciones e íconos personalizados de aspecto oficial que hacen que la descarga parezca legítima.

Las instrucciones guían al usuario a través de un proceso que omite a MacOS Gatekeeper, que normalmente advertiría al usuario sobre la instalación de una aplicación no confiable. Una vez ejecutado, un ejecutable de Mach-O instala Frigidstealer.

Si los usuarios ingresan su contraseña durante el proceso, el atacante gana acceso a «Cookies de navegador, archivos con extensiones relevantes para el material de contraseña o la criptomoneda de las carpetas de escritorio y documentos de la víctima, y ​​cualquier Apple Notes que el usuario ha creado», dijo Proofpoint.

Consulte: Esta lista de verificación contiene todo lo que los empleadores necesitan para examinar a los empleados para tareas sensibles a la seguridad.

Cómo defenderse contra las campañas de inyección web

Debido a que los atacantes pueden distribuir este malware a través de sitios web legítimos, los equipos de seguridad pueden tener dificultades para detectar y mitigar la amenaza. Sin embargo, Proofpoint recomienda las siguientes mejores prácticas para fortalecer las defensas:

• Implementar herramientas de protección de puntos finales y detección de red, como el conjunto de reglas de amenazas emergentes de Proofpoint.
• Entrene a los usuarios para identificar cómo funciona el ataque e informar actividades sospechosas a sus equipos de seguridad. Integre el conocimiento sobre estas estafas en la capacitación de conciencia de seguridad existente.
• Restringe los usuarios de Windows para descargar archivos de script y abrirlos en cualquier otra cosa que no sea un archivo de texto. Esto se puede configurar a través de la configuración de la política de grupo.

Las amenazas de macOS están aumentando

En enero de 2025, Centinela observó un aumento en los ataques dirigidos a dispositivos MacOS en empresas. Además, más actores de amenaza están adoptando marcos de desarrollo multiplataforma para crear malware que funcione en múltiples sistemas operativos.

«Estas tendencias sugieren un esfuerzo deliberado de los atacantes para escalar sus operaciones mientras explotan las brechas en las defensas de MacOS que a menudo se pasan por alto en entornos empresariales», escribió Phil Stokes, un investigador de amenazas de Sentinelone.