Si usas un Mac, seguro que alguna vez has visto esa ventana que pide enviar un informe a Apple tras un error de una aplicación. Pues bien, mucho ojo a partir de ahora. Un nuevo malware bautizado como CrashStealer está circulando por la red y utiliza una técnica de ingeniería social tan sencilla como efectiva: imitar el aspecto de esos informes de diagnóstico.
El funcionamiento es de manual de malvado. El programa te muestra un aviso falso que, bajo la excusa de recopilar datos para mejorar el sistema, te solicita la contraseña de administrador de tu Mac. Si caes en la trampa y la escribes, le das las llaves de tu casa al atacante. Esto permite que el software malicioso acceda a tus gestores de contraseñas, monederos de criptomonedas y datos personales.
Un engaño que se salta los controles de seguridad
Lo más preocupante es que este malware no es un simple script cutre. Según los investigadores de Jamf Threat Labs, que siguen la pista a este bicho desde mayo, el archivo inicial llega en una imagen de disco llamada Werkbit Setup. Lo peor es que venía firmado con un ID de desarrollador de Apple válido y notarizado, lo que permitió que pasara los controles de Gatekeeper sin despeinarse.
Aunque Apple ya ha revocado las credenciales de este desarrollador y el sistema debería bloquearlo, no te fíes ni un pelo. Es un recordatorio de que ni siquiera el entorno de macOS es infalible ante el malware bien diseñado. La mejor defensa sigue siendo el sentido común: no descargues nada fuera de la Mac App Store o de fuentes que sean de total confianza.
Cómo protegerte de CrashStealer
Si ves una ventana de informe de error que te pide la contraseña de tu Mac, desconfía inmediatamente. Apple nunca te pedirá tu clave de sistema para enviar un reporte de diagnóstico rutinario. Si el aviso aparece de repente sin que ninguna app se haya cerrado inesperadamente, cierra el proceso desde el Monitor de Actividad y borra cualquier archivo sospechoso.
La seguridad total no existe, pero mantener el sistema actualizado y evitar instaladores de dudosa procedencia es la mejor forma de no llevarse un susto. Si te encuentras con un archivo llamado Werkbit.app, ni lo abras. Ante la duda, mejor borrar que lamentar.