{"id":29404,"date":"2026-08-10T08:49:14","date_gmt":"2026-08-10T14:49:14","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=29404"},"modified":"2026-08-09T17:50:40","modified_gmt":"2026-08-09T23:50:40","slug":"crashstealer-werkbit-macos-infostealer","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/crashstealer-werkbit-macos-infostealer\/29404\/","title":{"rendered":"CrashStealer: malware notarizado para macOS"},"content":{"rendered":"

Desde siempre, los usuarios de Mac confiaron en que su sistema operativo los mantendr\u00eda a salvo. Esa tranquilidad proviene m\u00e1s que nada del control estricto de Apple sobre su ecosistema y del hecho de que hist\u00f3ricamente macOS se enfrent\u00f3 a menos ataques masivos que Windows. Sin embargo, eso no significa que las Mac sean invulnerables: las amenazas existen y surgen nuevas todo el tiempo. En las \u00faltimas semanas, algunos investigadores de seguridad publicaron informes sobre al menos dos nuevas campa\u00f1as dirigidas a dispositivos Apple.<\/p>\n

El malware utilizado en una de las campa\u00f1as se denomin\u00f3 CrashStealer<\/a>, mientras que el otro se conoce como ClickLock<\/a>. Ambos utilizan diferentes trucos para obligar a los usuarios a ingresar la contrase\u00f1a de su Mac, que luego los atacantes usan para robar credenciales de cuenta, criptoactivos, documentos y mucho m\u00e1s. En la publicaci\u00f3n de hoy, veremos de cerca c\u00f3mo funciona CrashStealer y c\u00f3mo evitar ser una v\u00edctima.<\/p>\n

Una aplicaci\u00f3n de videoconferencia con CrashStealer dentro de ella<\/h2>\n

Fue en mayo de 2026 cuando los investigadores detectaron las primeras se\u00f1ales de que este malware se estaba desarrollando y, a principios de julio, lo detectaron puesto en pr\u00e1ctica. El malware se gan\u00f3 su nombre debido a su mecanismo central: pretende ser la herramienta de informes de fallas integrada de macOS (CrashReporter) mientras opera como un ladr\u00f3n de informaci\u00f3n dise\u00f1ado para robar datos confidenciales.<\/p>\n

Los investigadores lograron rastrear uno de los sitios web que los usuarios visitaron para descargar el malware. El sitio se hace pasar por una plataforma leg\u00edtima para distribuir la herramienta de videoconferencia Werkbit.<\/p>\n

\"Un<\/a>

Seg\u00fan los investigadores, este es el sitio que las v\u00edctimas usaban para descargar Werkbit, que conten\u00eda en secreto el cargador de malware CrashStealer. Fuente <\/a><\/p><\/div>\n

Sin embargo, no puedes simplemente visitar el sitio y descargar el software. Antes de la descarga, se les pide a los visitantes que ingresen un PIN de reuni\u00f3n especial. Seguramente esta trampa les permita a los atacantes limitar el alcance de la distribuci\u00f3n al apuntar solo a v\u00edctimas espec\u00edficas y preseleccionadas. Se desconoce exactamente c\u00f3mo eligen sus objetivos y env\u00edan el PIN.<\/p>\n

Los usuarios \u201cafortunados\u201d que tienen un c\u00f3digo terminan instalando la carga maliciosa inicial, llamada Werkbit Setup. Lo curioso es que tiene un certificado de desarrollador de Apple v\u00e1lido y super\u00f3 con \u00e9xito su proceso de notarizaci\u00f3n, lo que significa que pas\u00f3 el an\u00e1lisis previo automatizado en busca de c\u00f3digo malicioso. Como resultado, los atacantes logran eludir Gatekeeper, la defensa integrada del sistema operativo. Esto permite que la carga se inicie sin activar las advertencias habituales de software no confiable.<\/p>\n

\"Instalador<\/a>

El instalador Werkbit Setup est\u00e1 firmado con un certificado de desarrollador de Apple v\u00e1lido y super\u00f3 el proceso de notarizaci\u00f3n. Fuente <\/a><\/p><\/div>\n

Una vez iniciado, Werkbit Setup primero se comunica con GitHub. Los investigadores creen que el uso de esta plataforma tan popular ayuda a los atacantes a pasar desapercibidos al hacer que estas solicitudes iniciales de red se vean mucho menos sospechosas para las herramientas de seguridad. Despu\u00e9s de recuperar las instrucciones de un repositorio de GitHub, el programa se conecta directamente al servidor de los atacantes para obtener CrashStealer.<\/p>\n

Luego, el cargador guarda el malware en una carpeta temporal de macOS, lo inicia y borra la mayor\u00eda de los archivos de instalaci\u00f3n intermedios. El resultado es un infostealer completamente funcional segundos despu\u00e9s de iniciar la instalaci\u00f3n de Werkbit. Por cierto, el usuario jam\u00e1s obtiene la aplicaci\u00f3n de videoconferencia.<\/p>\n

C\u00f3mo funciona CrashStealer<\/h2>\n

A diferencia del cargador de Werkbit Setup, el malware CrashStealer en s\u00ed no est\u00e1 firmado con un certificado de desarrollador de Apple. Para que los usuarios no sospechen nada, el malware se disfraza de la herramienta integrada de informes de fallas de macOS, CrashReporter, y usa exactamente el mismo nombre, el identificador de la aplicaci\u00f3n y un \u00edcono similar.<\/p>\n

Una vez que se inicia, CrashStealer completa una secuencia de pasos para acceder a datos confidenciales, establecer persistencia en el sistema y borrar su rastro:<\/p>\n

    \n
  1. Elimina metadatos, incluido el atributo que marca la aplicaci\u00f3n como una descarga de Internet.<\/li>\n
  2. Muestra un mensaje del sistema falso que solicita la contrase\u00f1a de macOS del usuario.<\/li>\n
  3. Usa las credenciales recopiladas anteriormente para obtener acceso a Keychain, el administrador de contrase\u00f1as integrado de macOS.<\/li>\n
  4. Revisa el equipo en busca de las herramientas de seguridad instaladas y el software de an\u00e1lisis de malware.<\/li>\n
  5. Recopila contrase\u00f1as guardadas del navegador, cookies, contenidos de Keychain y datos de otros administradores de contrase\u00f1as y monederos criptogr\u00e1ficos.<\/li>\n
  6. Cifra los datos que rob\u00f3 y los prepara para reenviarlos al servidor de los atacantes.<\/li>\n
  7. Crea una copia de s\u00ed mismo y establece la persistencia para iniciarse autom\u00e1ticamente cada vez que se inicie macOS.<\/li>\n
  8. Elimina los archivos temporales y otros rastros de instalaci\u00f3n para que la detecci\u00f3n sea mucho m\u00e1s dif\u00edcil.<\/li>\n<\/ol>\n

    El paso dos merece un an\u00e1lisis m\u00e1s detallado. La solicitud de contrase\u00f1a que le aparece al usuario se ve extremadamente convincente. Adem\u00e1s, el malware verifica inmediatamente si las credenciales son correctas: si cometes un error de escritura e ingresas una contrase\u00f1a no v\u00e1lida, CrashStealer volver\u00e1 a mostrarte la ventana para preguntarte de nuevo.<\/p>\n

    \"Solicitud<\/a>

    Una vez que se inicia, CrashStealer muestra una ventana emergente que imita la solicitud de contrase\u00f1a t\u00edpica de macOS. Fuente <\/a><\/p><\/div>\n

    \u00bfQu\u00e9 datos busca CrashStealer?<\/h2>\n

    La lista de objetivos de CrashStealer es enorme. En primer lugar, sus operadores apuntan a Keychain: el administrador de contrase\u00f1as integrado de macOS donde el sistema almacena credenciales de cuentas, claves criptogr\u00e1ficas, certificados, tokens y m\u00e1s.<\/p>\n

    Los usuarios de administradores de contrase\u00f1as de terceros tampoco est\u00e1n seguros, porque el malware roba datos de 14 de estos servicios, incluidos 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass, Enpass y RoboForm.<\/p>\n

    Adem\u00e1s, el malware recopila todas las credenciales y las cookies almacenadas en los navegadores basados en Chromium (Chrome, Brave, Edge, Opera, Opera GX, Vivaldi, Chromium y NAVER Whale), as\u00ed como en Firefox. Los atacantes claramente tienen un gran inter\u00e9s en los criptoactivos: CrashStealer apunta espec\u00edficamente a datos de 80\u00a0extensiones de monederos criptogr\u00e1ficos diferentes, incluidas MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Rabby, Exodus, Keplr y Solflare.<\/p>\n

    Finalmente, el malware analiza las carpetas Documentos y Descargas para seleccionar archivos que puedan ser de inter\u00e9s para los ciberdelincuentes. CrashStealer cifra todos los datos robados con el algoritmo AES-256-GCM, los comprime y los env\u00eda al servidor de los atacantes.<\/p>\n

    C\u00f3mo proteger tu dispositivo<\/h2>\n

    El aumento en los ataques a macOS es una clara llamada de atenci\u00f3n: los usuarios de Apple deben ser proactivos con respecto a su seguridad. Recomendamos lo siguiente:<\/p>\n