{"id":1412,"date":"2026-07-03T09:41:09","date_gmt":"2026-07-03T09:41:09","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/03\/pamstealer-utiliza-sitios-maccy-falsos-y-comprobaciones-pam-para-robar-contrasenas-de-inicio-de-sesion-de-mac-cyberdefensa-mx\/"},"modified":"2026-07-03T09:41:09","modified_gmt":"2026-07-03T09:41:09","slug":"pamstealer-utiliza-sitios-maccy-falsos-y-comprobaciones-pam-para-robar-contrasenas-de-inicio-de-sesion-de-mac-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/03\/pamstealer-utiliza-sitios-maccy-falsos-y-comprobaciones-pam-para-robar-contrasenas-de-inicio-de-sesion-de-mac-cyberdefensa-mx\/","title":{"rendered":"PamStealer utiliza sitios Maccy falsos y comprobaciones PAM para robar contrase\u00f1as de inicio de sesi\u00f3n de Mac \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Los investigadores de ciberseguridad han detectado un nuevo ladr\u00f3n de informaci\u00f3n de macOS llamado PamStealer<\/b> que emplea una serie de trucos inteligentes para infectar sistemas y desviar datos confidenciales.<\/p>\n

El ladr\u00f3n, descubierto por Jamf Threat Labs, se distribuye como un archivo AppleScript compilado (.scpt) que se hace pasar por Maccy, un administrador de portapapeles leg\u00edtimo de c\u00f3digo abierto. Su nombre en c\u00f3digo es PamStealer debido a su capacidad para validar la contrase\u00f1a de inicio de sesi\u00f3n de la v\u00edctima a trav\u00e9s de los m\u00f3dulos de autenticaci\u00f3n conectables (PAM) de macOS antes de capturarla.<\/p>\n

El malware se entrega en dos etapas: un AppleScript compilado distribuido dentro de una imagen de disco que est\u00e1 dise\u00f1ado para descargar y organizar una carga \u00fatil de seguimiento. El artefacto secundario es un ladr\u00f3n de informaci\u00f3n basado en Rust capaz de robar credenciales, recopilar datos del navegador, persistir y exfiltrar.<\/p>\n

El vector de acceso inicial para el malware es un sitio similar (\u00abmaccyapp[.]com\u00bb) que imita maccy<\/a> (\u00abmaccy[.]app\u00bb). El AppleScript (\u00abMaccy.scpt\u00bb) presente dentro de la imagen del disco ejecuta un descargador de JavaScript para automatizaci\u00f3n (JXA) aut\u00f3nomo que recupera y organiza la carga \u00fatil del ladr\u00f3n utilizando API nativas de Objective-C.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Lo que es notable aqu\u00ed es que el script, una vez iniciado a trav\u00e9s del Editor de scripts, muestra instrucciones para ejecutarlo usando el m\u00e9todo abreviado de teclado \u00ab\u2318 + R\u00bb o haciendo clic en el bot\u00f3n Ejecutar del Editor de scripts, lo que provoca que se ejecute la l\u00f3gica maliciosa oculta en el archivo debajo de un gran bloque de l\u00edneas vac\u00edas.<\/p>\n

\u00abEn particular, esto funciona incluso cuando el archivo todav\u00eda lleva el atributo com.apple.quarantine, que es lo que hace que el enfoque sea atractivo para los atacantes mientras Apple contin\u00faa reforzando Gatekeeper y Terminal\u00bb, dijo el investigador de seguridad Thijs Xhaflaire. dicho<\/a>. \u00abCombinado con una segunda etapa basada en Rust y un flujo de trabajo de captura de contrase\u00f1as que valida las credenciales localmente a trav\u00e9s de PAM, el resultado es una cadena de ejecuci\u00f3n m\u00e1s silenciosa de lo que normalmente observamos en los ladrones b\u00e1sicos de macOS\u00bb.<\/p>\n

El cuentagotas AppleScript incorpora funciones compatibles con el entorno que permiten que la ejecuci\u00f3n contin\u00fae solo despu\u00e9s de tomar las huellas digitales del host y determinar que se est\u00e1 ejecutando en Apple Silicon. Para ello, obtiene una clave basada en la huella digital, que incluye detalles como la arquitectura de la CPU, la configuraci\u00f3n regional, la distribuci\u00f3n del teclado y la zona horaria, y luego la utiliza para desbloquear una configuraci\u00f3n cifrada que contiene la URL de carga \u00fatil y la ruta de instalaci\u00f3n.<\/p>\n

En Mac con procesador Intel, la clave de descifrado derivada difiere y no logra decodificar la configuraci\u00f3n, lo que resulta en la terminaci\u00f3n del cuentagotas. El script tambi\u00e9n evita la ejecuci\u00f3n dentro de entornos aislados o de an\u00e1lisis, as\u00ed como sistemas cuya zona horaria, configuraci\u00f3n regional del sistema y entrada de teclado se resuelven en pa\u00edses ubicados en Europa del Este, como Rusia, Bielorrusia, Kazajst\u00e1n, Armenia, Azerbaiy\u00e1n, Kirguist\u00e1n, Moldavia, Tayikist\u00e1n, Uzbekist\u00e1n, Turkmenist\u00e1n y Georgia.<\/p>\n

Una vez que se pasan las comprobaciones, el script llega al servidor externo y descarga un binario Mach-O escrito en Rust que se hace pasar por la aplicaci\u00f3n Finder y es responsable de recopilar datos de los navegadores web, extensiones de billetera de criptomonedas, llavero de iCloud y contenido del portapapeles. Luego, la informaci\u00f3n capturada se cifra y se extrae a una infraestructura controlada por el atacante (\u00abavenger-sync[.]live\u00bb) a trav\u00e9s de una solicitud HTTP saliente.<\/p>\n

Adem\u00e1s de obligar al usuario a otorgarle acceso completo al sistema de archivos, el ladr\u00f3n env\u00eda una solicitud de contrase\u00f1a nativa que recopila la contrase\u00f1a del sistema de la v\u00edctima y luego valida la contrase\u00f1a ingresada cotej\u00e1ndola a trav\u00e9s de la API PAM. Si la validaci\u00f3n falla, le pide al usuario que vuelva a ingresar la contrase\u00f1a y repite el ciclo hasta que se proporcione la contrase\u00f1a correcta.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abUna vez que se captura una contrase\u00f1a v\u00e1lida, el ladr\u00f3n muestra una segunda alerta falsa: ‘Maccy est\u00e1 da\u00f1ada y no se puede abrir. Debes moverla a la Papelera’, una copia cercana del mensaje genuino de Gatekeeper\u00bb, dijo Jamf. \u00abEsto es un se\u00f1uelo. En el momento en que aparece, la carga \u00fatil ya se ha ejecutado, ha capturado la contrase\u00f1a y se ha registrado para persistencia, por lo que el mensaje s\u00f3lo sirve para que la v\u00edctima descarte el se\u00f1uelo y asuma que la descarga se interrumpi\u00f3\u00bb.<\/p>\n

Tambi\u00e9n est\u00e1 integrado en el binario de Rust un peque\u00f1o arm64 Mach-O que se hace pasar por la configuraci\u00f3n del sistema macOS y se utiliza para configurar la persistencia.<\/p>\n

El desarrollo tiene incitado<\/a> Alex Rodionov, el desarrollador de Maccy, para incluir<\/a> una advertencia en su sitio web y en el repositorio de GitHub que dec\u00eda: \u00abCuidado con los sitios web falsos que se hacen pasar por Maccy. Los sitios maliciosos (como maccyapp[.]net y maccyapp[.]com) distribuye malware disfrazado de Maccy. maccy.app es el \u00fanico sitio web oficial.\u00bb<\/p>\n

\u00abEn conjunto, estos comportamientos ilustran c\u00f3mo los ladrones de productos b\u00e1sicos de macOS contin\u00faan evolucionando, adoptando cadenas de ejecuci\u00f3n m\u00e1s silenciosas e implementaciones nativas que reducen las oportunidades de detecci\u00f3n tradicionales sin dejar de ser compatibles con las caracter\u00edsticas est\u00e1ndar de macOS\u00bb, dijo Jamf.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Los investigadores de ciberseguridad han detectado un nuevo ladr\u00f3n de informaci\u00f3n de macOS llamado PamStealer que emplea una serie de trucos inteligentes para infectar sistemas y desviar datos confidenciales. El ladr\u00f3n, descubierto por Jamf Threat Labs, se distribuye como un archivo AppleScript compilado (.scpt) que se hace pasar por Maccy, un administrador de portapapeles leg\u00edtimo […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1353,225,24,57,3097,1764,3498,2370,3497,36,703,2511,266,216],"class_list":["post-1412","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-comprobaciones","tag-contrasenas","tag-cyberdefensa-mx","tag-falsos","tag-inicio","tag-mac","tag-maccy","tag-pam","tag-pamstealer","tag-para","tag-robar","tag-sesion","tag-sitios","tag-utiliza"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1412","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1412"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1412\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1412"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1412"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1412"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}