Si trabajas con un Mac, programas a diario o manejas cripto, este nombre te interesa: ModStealer. Es un infostealer (ladrón de información) multiplataforma que ha irrumpido con fuerza y que apunta primero a macOS, pero también funciona en Windows y Linux. Lo grave no es solo lo que roba, sino cómo se cuela y cómo permanece sin que te enteres, incluso esquivando defensas nativas de Apple y muchas soluciones antivirus.
En TecnetOne te contamos, con palabras claras, qué hace, cómo te ataca y cómo protegerte a nivel personal y de empresa.
Qué busca ModStealer (y por qué probablemente te tiene en el radar)
Los operadores detrás de ModStealer saben dónde está el valor: desarrolladores y usuarios con cripto. Te pescan con ofertas de trabajo falsas, “recruiters” clonados y retos técnicos alojados en repositorios o webs muy pulidas. Cuando descargas el supuesto “brief” o ejecutas un “instalador” de una librería/tool… ahí entra el malware.
Una vez dentro, arrastra todo lo que le sirva para moverse como si fueras tú:
- Extensiones del navegador (más de 50, entre Chrome y Safari; atacar Safari sigue siendo poco común y por eso destaca).
- Wallets cripto en el navegador (frases semilla, llaves privadas, direcciones).
- Portapapeles (si copiaste una seed o un 2FA, mal asunto).
- Capturas de pantalla (para ver lo que haces sin permisos extras).
- LocalStorage, cookies y credenciales guardadas (sesiones de servicios, correos, Git, SaaS, banca…).
Con esto, un atacante se loguea donde tú te logueas, firma transacciones, intercambia direcciones de retiro sin que lo notes y levanta acceso a tus repos o a los sistemas de tu empresa.
El “truco” técnico que lo hace tan persistente en macOS
ModStealer no apuesta por trucos ruidosos. En macOS usa LaunchAgents a través de launchctl (herramienta nativa) para reanudar su ejecución en cada inicio de sesión. Es decir, se registra como si fuera un proceso del sistema totalmente legítimo.
- Crea ficheros discretos (por ejemplo, sysupdater.dat) en rutas de usuario.
- Añade un LaunchAgent en ~/Library/LaunchAgents/ con un nombre y un plist que “no canta” a primera vista.
- No toca elementos que muchos antivirus vigilan de manera prioritaria, por lo que pasa desapercibido.
Desde ahí, mantiene comunicación continua con su C2 (comando y control) para mandar lo que robe, recibir nuevas órdenes e incluso moverse lateralmente en redes corporativas si detecta la oportunidad.
Títulos similares: Atomic Stealer: Nueva versión cifrada ataca a Mac
¿Por qué es especialmente peligroso?
- Multiplataforma real: el mismo actor orquesta campañas para Mac, Windows y Linux. No son variantes sueltas; es un kit que permite atacar tu parque mixto sin reescribir medio malware.
- Evasión de defensas: al apoyarse en mecanismos del propio sistema (LaunchAgents), parece actividad normal y reduce alertas.
- Safari + extensiones: no muchos stealers lo hacen tan bien. Si usas Safari por “seguridad”, aquí no te salva solo el cambio de navegador.
- Robo de sesión: con cookies y tokens válidos, el MFA pierde fuerza; el atacante salta directamente a tus cuentas.
Señales de que podrías estar cayendo
- “Reclutadores” que llegan por LinkedIn/Telegram/Discord con salarios fuera de mercado y urgencia.
- Retos/briefs que te piden ejecutar scripts para “ver compatibilidad” o “preparar el entorno”.
- Instrucciones de “click-to-fix” (ClickFix) para copiar/pegar comandos en Terminal “para activar cámara/micrófono” en una entrevista técnica.
- Un plist desconocido en ~/Library/LaunchAgents/ que lanza un binario con nombres tipo “update”, “system”, “helper”…
- Wallet con movimientos que no hiciste o direcciones de retiro cambiadas “solas”.
- Sesiones abiertas en servicios desde ubicaciones que no reconoces.
Un comentario de un usuario de VirusTotal revela cómo fueron contactados por un reclutador falso que se hacía pasar por una cuenta conocida de LinkedIn (Fuente: Moonlock)
Cómo blindarte (como persona y como empresa)
Si eres usuario (dev, analista, trader…)
- Cero comandos ciegos. No pegues en Terminal lo que no entiendas. Si “falla la cámara”, reinicia navegador/Sistema y no sigas guías de terceros.
- Aísla pruebas: usa VM o un perfil de usuario separado sin llaves/credenciales; idealmente una máquina desechable para retos técnicos.
- Wallets fuera del navegador: hardware wallet para custodiar, y frases semilla nunca en el portapapeles.
- Revisa LaunchAgents: en ~/Library/LaunchAgents/ y ~/Library/LaunchDaemons/. Si ves algo raro, descónectate de internet, elimina el plist (y binario), reinicia y cambia contraseñas.
- Passkeys/MFA siempre, y rotación de tokens (revoca sesiones activas en Google, Apple ID, GitHub, etc.).
- Extensiones mínimas: desinstala las que no uses; verifica editor y permisos.
- Actualiza macOS y apps; Gatekeeper, XProtect y MRT ayudan si están al día. Activa Bloqueo de acceso a datos USB si no lo necesitas.
Si gestionas TI/Seguridad
- MDM en todos los Mac (Jamf, Kandji, Mosyle, Intune…). Forza:
- Bloqueo de LaunchAgents no firmados o en rutas no permitidas.
- Bloqueo de curl/osascript/python en contextos no aprobados (o alerta por uso interactivo).
- Lista blanca de extensiones y bloqueo de extensiones con permisos “read/write all”.
- EDR/XDR con reglas para persistence vía LaunchAgents, anomalías en ~/Library/, screenshots en bucle, raspado de llaveros, y exfil por HTTPS a dominios nuevos.
- Navegador corporativo endurecido o aislamiento de navegación (island/remote browser isolation) para separar sesiones privilegiadas de la web “abierta”.
- Segregación de identidades: que el dev no use su cuenta personal para nada corporativo. SSO con passkeys, tokens de corta vida y Just-In-Time para accesos sensibles.
- Monitoreo de señales cripto: si usuarios manejan activos, controla cambios de direcciones de retiro y firmas inusuales (alertas al vuelo).
- Playbooks DFIR específicos de infostealers: revocación masiva de cookies/tokens, rotación de secretos, invalidación de refresh tokens y re-enrolamiento MDM.
- Formación anti-ClickFix: simulaciones internas donde se “rompe la cámara” y se prueba si la gente pega comandos. Eso educa más que diez PDFs.
¿Y si ya sospechas infección?
- Aíslate (modo avión o fuera de la red corporativa).
- Exporta evidencias (plist, binarios sospechosos, hashes, conexiones salientes) sin ejecutarlos.
- Cambia contraseñas desde otro dispositivo limpio; revoca sesiones en todos los servicios.
- Restaura desde backup confiable o reinstala. Si sigues, arrastras persistencias.
- Rota llaves API, tokens de CI/CD, secretos de repos y credenciales de nube.
- Wallets: mueve fondos a una nueva seed creada en hardware wallet.
En TecnetOne podemos analizar tu Mac, sacar la persistencia, trazar el exfiltrado y cerrar huecos en horas.
Lee más: Acronis Backup for Mac: Copia de Seguridad en macOS
Cómo te ayuda TecnetOne
- Caza de amenazas (Threat Hunting) enfocada en LaunchAgents anómalos, abuso de launchctl, scraping de cookies/localStorage y exfil a dominios emergentes.
- Endurecimiento MDM para macOS: perfiles que bloquean persistencias comunes, controlan scripts, y firman/limitan extensiones.
- EDR/XDR gestionado 24/7 con reglas a medida para stealers modernos (Safari+Chrome).
- Respuesta a incidentes: limpieza, rotación de secretos, hardening post-brecha y acompañamiento hasta cerrar por completo el ciclo de ataque.
- Formación viva (anti-ClickFix, ingeniería social de “recruiters”, higiene de wallets, buenas prácticas de dev).
Quédate con esto
- ModStealer no es “otro malware” más: roba lo que te hace tú (cookies, tokens, seeds) y se camufla como un proceso del sistema.
- Entra por ofertas falsas y retos técnicos: si algo te pide copiar comandos, sospecha.
- Con aislamiento, MDM, EDR/XDR y disciplina de identidades, le cierras el paso.
¿Te ayudamos a revisar tus Macs y tus procesos de selección técnica para que ModStealer (y compañía) no tengan donde agarrarse? En TecnetOne estamos listos para blindarte.
