Los usuarios de macOS suman un nuevo dolor de cabeza. Desde septiembre pasado, expertos de Check Point Research (CPR) monitorearon una nueva versión del Banshee macOS Stealer, un malware que roba credenciales del navegador, billeteras de criptomonedas y otros datos sensibles.
Como no fue detectado durante más de dos meses, la última versión de Banshee introdujo cifrado de cadenas tomado del XProtect de Apple, algo que muy probablemente hizo que los sistemas de detección de antivirus pasaran por alto el malware.
Desde CPR resaltaron que "los actores de amenazas distribuyeron Banshee utilizando sitios web de phishing y repositorios falsos de GitHub, a menudo haciéndose pasar por software popular como Chrome y Telegram".
Además, advirtieron que "una actualización clave en la nueva versión eliminó una verificación de idioma ruso, algo que ampliaba los posibles objetivos del malware".
"A medida que macOS continúa ganando popularidad, con más de 100 millones de usuarios a nivel mundial, se convierte en un objetivo cada vez más atractivo para los ciberdelincuentes.
A pesar de su reputación como un sistema operativo seguro, el surgimiento de amenazas sofisticadas como Banshee MacOS Stealer resalta la importancia de la vigilancia y las medidas proactivas de ciberseguridad.
Cuando las suposiciones de seguridad fallan
Check Point Research (CPR) insitstió en que estuvo monitoreando este malware emergente que apunta a usuarios de macOS.
"Muchos usuarios de macOS asumen que la arquitectura basada en Unix de la plataforma y su menor participación histórica en el mercado la hacen un objetivo menos atractivo para los ciberdelincuentes y, por lo tanto, inmune al malware", apuntaron en un informe.
Y añadieron: "Aunque macOS incluye características de seguridad robustas como Gatekeeper, XProtect y sandboxing, el surgimiento del Banshee Stealer sirve como un recordatorio de que ningún sistema operativo es inmune a las amenazas".
Precisaron que "este malware sigiloso no solo se infiltra; opera sin ser detectado, mezclándose perfectamente con los procesos normales del sistema mientras roba credenciales del navegador, billeteras de criptomonedas, contraseñas de usuarios y datos de archivos sensibles".
Y agregaron: "Lo que hace que Banshee sea verdaderamente alarmante es su capacidad para evadir la detección. Incluso los profesionales de TI experimentados tienen dificultades para identificar su presencia. Banshee Stealer no es solo otro malware; es una advertencia crítica para que los usuarios reevalúen sus suposiciones de seguridad y tomen medidas proactivas para proteger sus datos".
La evolución del Banshee Stealer: una nueva raza de amenaza
El Banshee macOS Stealer llegó por primera vez a la atención pública a mediados de 2024, anunciado como un "stealer-as-a-service" en foros clandestinos, como XSS y Exploit, y Telegram.
"Por $3,000, los actores de amenazas podían comprar este malware para apuntar a usuarios de macOS. A fines de septiembre, CPR identificó una nueva versión no detectada de Banshee con un giro interesante: sus desarrolladores habían 'robado' un algoritmo de cifrado de cadenas del propio motor antivirus XProtect de Apple, que reemplazó las cadenas de texto plano utilizadas en la versión original", puntualizaron desde CPR.
Este movimiento probablemente permitió que Banshee evadiera la detección de los motores antivirus durante más de dos meses. Durante este tiempo, los actores de amenazas distribuyeron el malware a través de sitios web de phishing y repositorios maliciosos de GitHub, haciéndose pasar por herramientas de software populares como Chrome, Telegram y TradingView.
Las operaciones de Banshee dieron un giro significativo en noviembre de 2024 cuando su código fuente fue filtrado en los foros clandestinos XSS y se cerró al público.
Esa filtración expuso su funcionamiento interno y también llevó a una mejor detección por parte de los motores antivirus.
No obstante, si bien la filtración llevó a una mejor detección por parte de los motores antivirus, también generó preocupaciones sobre nuevas variantes que podrían ser desarrolladas por otros actores.
Cómo opera Banshee Stealer
La funcionalidad de Banshee Stealer revela la sofisticación detrás del malware moderno. Una vez instalado, realiza las siguientes acciones:
-
Robo de datos del sistema: Apunta a navegadores como Chrome, Brave, Edge y Vivaldi, junto con extensiones de navegador para billeteras de criptomonedas. También explota una extensión de Autenticación de Dos Factores (2FA) para capturar credenciales sensibles. Además, recopila detalles de software y hardware, direcciones IP externas y contraseñas de macOS.
-
Engaña a los usuarios: Utiliza ventanas emergentes convincentes diseñadas para parecer indicaciones legítimas del sistema para engañar a los usuarios y hacer que ingresen sus contraseñas de macOS.
-
Evita la detección: Emplea técnicas anti-análisis para evitar herramientas de depuración y motores antivirus.
-
Exfiltra datos: Envía información robada a servidores de comando y control a través de archivos cifrados y codificados.
Los actores de amenazas utilizaron repositorios de GitHub como un método clave de distribución para Banshee.
"Estas campañas apuntaron a usuarios de macOS con Banshee mientras simultáneamente dirigían sus ataques a usuarios de Windows con un malware diferente, aunque ya conocido, llamado Lumma Stealer", apuntaron desde CPR.
Y subrayaron: "A lo largo de tres oleadas, se crearon repositorios maliciosos para hacerse pasar por software popular y atraer a los usuarios a descargar el malware. Estos repositorios a menudo parecían legítimos, con estrellas y reseñas para generar confianza antes de lanzar sus campañas maliciosas".
Por qué esto es importante para las empresas
Las firmas deben reconocer los riesgos más amplios que plantea el malware moderno, incluidas las costosas violaciones de datos que comprometen información sensible y dañan las reputaciones, los ataques dirigidos a billeteras de criptomonedas que amenazan los activos digitales y las interrupciones operativas causadas por malware sigiloso que evaden la detección e infligen daño a largo plazo antes de ser identificado.
Dede CPR advirtieron que "el éxito de Banshee subraya la naturaleza en evolución de las amenazas cibernéticas y la necesidad de defensas robustas".
Y añadieron: "Desde que se filtró su código fuente en noviembre de 2024, la operación Banshee Stealer-as-a-service ha sido oficialmente cerrada. Sin embargo, CPR identificó múltiples campañas que aún distribuyen el malware a través de sitios web de phishing".
"Si estas campañas están siendo llevadas a cabo por clientes anteriores o el grupo privado del autor sigue siendo incierto", remarcaron.
Una actualización notable en la última versión de Banshee es la eliminación de su verificación de idioma ruso. Las versiones anteriores del malware terminaban sus operaciones si detectaban el idioma ruso, probablemente para evitar apuntar a regiones específicas. Eliminar esta característica indica una expansión en los posibles objetivos del malware.
A medida que los ciberdelincuentes innovan, las soluciones de seguridad deben evolucionar junto con ellos para proporcionar una protección integral. Tanto las empresas como los usuarios deben tomar medidas proactivas para defenderse contra las amenazas, al aprovechar herramientas avanzadas y fomentar una cultura de precaución y conciencia.
:quality(85)/https://assets.iproup.com/assets/jpg/2023/05/34713_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2022/06/29022_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2024/10/40519_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2021/07/20676_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2024/08/39620_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2025/04/42560_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2023/12/37369_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2023/11/36920_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2025/05/42799_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2023/01/32871_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2023/01/32870_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2025/01/41587_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2021/08/21478_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2025/05/42800_landscape.jpg)
:quality(85)/https://assets.iproup.com/assets/jpg/2024/05/38673_landscape.jpg)