CrashStealer y PamStealer: El malware para macOS que esquiva Gatekeeper y roba contraseñas con técnicas nunca vistas

Dos nuevas familias de malware para macOS, CrashStealer y PamStealer, representan una evolución significativa en el panorama de amenazas para Mac. Identificadas por primera vez por Jamf Threat Labs en julio de 2026, ambas son capaces de eludir Gatekeeper (la protección de Apple contra software no autorizado) mediante técnicas diferentes, roban una amplia gama de credenciales —incluyendo las de billeteras de criptomonedas y gestores de contraseñas— y comparten una capacidad inusual: validan la contraseña de la víctima en el propio dispositivo antes de exfiltrarla, asegurando que el atacante reciba una credencial funcional ^CATJ.

CrashStealer: Un infostealer en C++ que se hace pasar por el notificador de errores de Apple

¿Qué es? CrashStealer es un infostealer escrito en C++ para macOS, detectado por primera vez por Jamf Threat Labs a principios de julio de 2026 y documentado públicamente el 13 y 14 de julio de ese mismo año ^TAJ. Su principal engaño es suplantar al marco legítimo de notificación de errores de Apple (Crash Reporter) con un binario llamado CrashReporter.app, utilizando el mismo icono y metadatos para no levantar sospechas ^AB.

Evasión de Gatekeeper mediante un dropper notarizado. La cadena de infección comienza con una aplicación de primera etapa llamada Werkbit, una app firmada y notarizada por Apple que posee un Developer ID válido asociado a "Emil Grigorov" ^TAJ. Al estar aprobada por el servicio de notarización de Apple, Gatekeeper la trata como de confianza y no muestra la advertencia habitual de "desarrollador no identificado" ^AJ. Una vez que el usuario descarga y abre Werkbit manualmente, un script descarga el payload real de CrashStealer en segundo plano ^TJ.

Credenciales y datos objetivo. CrashStealer roba de forma masiva en todo el sistema:

• Credenciales de navegadores como Chrome, Firefox, Edge, Brave, Opera y Vivaldi ^TJ.
• Aproximadamente 14 gestores de contraseñas, incluido 1Password ^TA.
• Unas 80 extensiones de billeteras de criptomonedas y archivos locales de wallets ^TA.
• Datos del llavero de macOS (Keychain) y contraseñas del sistema ^TJ.

Técnicas clave.

• Validación local de la contraseña antes de la exfiltración. CrashStealer muestra a la víctima un falso diálogo del sistema, similar al legítimo de Apple, pidiendo su contraseña de inicio de sesión. Luego la valida localmente antes de proceder al robo, garantizando al atacante una credencial que funciona ^TJ.
• Cifrado AES-GCM de los archivos robados antes de enviarlos a un servidor de comando y control (C2), dificultando la detección a nivel de red ^TJ.
• Persistencia y disfraz. Tras la infección, muestra una pantalla convincente de falso Crash Reporter para mantener el engaño, se copia a ~/Library/Caches/com.apple.crashreporter/ y crea un LaunchAgent llamado com.apple.crashreporter.helper para sobrevivir a los reinicios ^FB.
• Además, solicita permisos de "Acceso completo al disco" para ampliar lo que puede robar ^F.

Respuesta de Apple. Apple revocó el certificado de firma de Werkbit después de que Jamf informara sobre el malware ^TA.

PamStealer: Un ladrón en Rust que valida contraseñas a través de la propia API PAM de Apple

¿Qué es? PamStealer es un infostealer de macOS en dos etapas, escrito en Rust, y revelado por Jamf el 2 de julio de 2026 ^AAS. Su nombre proviene de su uso novedoso de la API de Módulos de Autenticación Enchufables (PAM) de Apple para verificar las contraseñas robadas ^AMDA.

Distribución y evasión de Gatekeeper. PamStealer se distribuye a través de dominios que suplantan al legítimo gestor de portapapeles Maccy (por ejemplo, maccyapp[.]com) ^MIA. Para eludir Gatekeeper, explota una brecha conocida pero aún sin parche en el Editor de Scripts de macOS:

• La víctima descarga una imagen de disco troyanizada que contiene un archivo AppleScript compilado .scpt ^AAS.
• El señuelo indica al usuario que abra el archivo en el Editor de Scripts y presione Comando-R para ejecutarlo ^AAS.
• Como el Editor de Scripts es una aplicación de confianza del sistema, se saltan las protecciones com.apple.quarantine de Gatekeeper y no se muestra ninguna advertencia ^MDA.

Credenciales y datos objetivo. El payload de segunda etapa en Rust roba:

• Contraseñas de inicio de sesión de macOS (a través de PAM) y la contraseña de administrador local ^MA.
• Credenciales guardadas en navegadores, cookies y contenido del portapapeles ^AS.
• Contenido del llavero de macOS ^AS.
• Archivos de billeteras de Ethereum y claves SSH ^SY.

Técnica clave: validación de contraseñas basada en PAM. Esta es la innovación distintiva de PamStealer:

• Cuando macOS presenta un mensaje de autenticación estándar ("Maccy quiere realizar cambios"), el usuario teclea su contraseña ^DA.
• En lugar de capturarla ciegamente, PamStealer llama a la propia API PAM de Apple (pam_start, pam_authenticate) para probar la contraseña contra la pila de autenticación del sistema antes de registrarla ^AMDA.
• Si la contraseña es correcta, la exfiltra y procede a robar otras credenciales. Si no es válida, puede volver a mostrar el mensaje o abortar, reduciendo el riesgo de desperdiciar recursos en una credencial falsa ^DAS.
• Esta técnica deja menos rastros forenses que los keyloggers o recolectores de memoria típicos, ya que utiliza la API oficial de Apple para la verificación en lugar de interceptar llamadas al sistema o leer buffers de memoria ^DA.

Implicaciones más amplias para las amenazas de malware en Mac

• La notarización como arma. CrashStealer demuestra que los atacantes pueden enviar aplicaciones maliciosas al servicio de notarización de Apple y obtener firmas que superan Gatekeeper ^TJ. El proceso de revocación de Apple es reactivo, no preventivo: el malware puede propagarse durante días o semanas antes de que se revoque el certificado. Esto sigue un patrón observado con malware anterior como MacSync y la familia Odyssey Stealer, que también abusaron de firmas válidas de desarrolladores de Apple ^MFS.

• El Editor de Scripts como punto ciego. Tanto PamStealer como un número creciente de amenazas recientes para macOS explotan el hecho de que ejecutar AppleScripts a través de aplicaciones de confianza del sistema evita Gatekeeper por completo. Jamf señala que esta es una brecha documentada pero aún sin parchear ^DA.

• Los infostealers para Mac se están volviendo sofisticados. El uso de cifrado AES-GCM para datos exfiltrados (CrashStealer) y la validación mediante la API PAM (PamStealer) muestra que los atacantes están invirtiendo en técnicas personalizadas y sigilosas, en lugar de depender de malware genérico ^DTJ. Microsoft también señaló en febrero de 2026 una tendencia más amplia de infostealers para macOS, Python y multiplataforma que utilizan señuelos de ingeniería social "ClickFix" para robar contraseñas de navegadores, wallets cripto y credenciales en la nube ^M.

• La validación de contraseñas en el dispositivo es un nuevo salto de fiabilidad. En lugar de adivinar o recolectar credenciales de forma masiva, ambos ladrones confirman que la contraseña es válida en la máquina de la víctima antes de la exfiltración, lo que mejora la tasa de éxito del atacante y reduce la posibilidad de detección por inicios de sesión fallidos ^TJ. Esto supone una evolución significativa: los infostealers típicos o bien capturan lo que se teclea o utilizan técnicas como llamadas a dscl o security que pueden fallar en silencio o activar alertas ^DS.