AMOS (Atomic macOS Stealer) – Infostealer – 2023

[mrwebfeeder]

Nombre:
Atomic macOS Stealer (AMOS)
Categoría:
Infostealer para macOS (MaaS)
Fecha de descubrimiento:
Alrededor de 2023
Comportamiento (lo que hace y archivos que infecta):

• Malware para macOS capaz de robar:
  • Contraseñas del llavero (Keychain).
    
  • Credenciales de navegador, autofill, wallets, notas, etc.
    
• Vendido como servicio en Telegram, con campañas continuas y mejoras constantes (incluso backdoor persistente)
  
• Se distribuye como:
  • Apps “crackeadas” para macOS (ej. copias pirata de apps de pago).
    
  • Sitios y GitHub Pages falsos que suplantan software legítimo (Homebrew, apps para Mac, etc.).
    

Persistencia:

• Aprovecha instaladores manipulados y scripts (por ejemplo AppleScript o comandos de terminal) que el usuario copia y pega manualmente.
  
• Nuevas versiones incluyen backdoor capaz de sobrevivir reinicios y descargar más malware.
  

Hash real de referencia (SHA-256):
Ejemplo de payload AMOS usado en campañas ClickFix:

Code:

94379fa0a97cc2ecd8d5514d0b46c65b0d46ff9bb8d5a4a29cf55a473da550d5

Mitigación con GetOverX Shield v3.0.2.0 o superior:
(Nota: GetOverX Shield protege principalmente endpoints Windows, pero puede ayudar a proteger infraestructura Windows donde se descargan o almacenan cracks para macOS.)

• Antivirus:
  • Analizar con GetOverX Shield cualquier archivo
    
    Code:

    .zip
    ,
    
    Code:

    .dmg
    o instalador de macOS que se descargue y almacene en servidores Windows o estaciones de trabajo Windows antes de ser transferido al Mac.
    
  • Bloquear y registrar archivos que se identifiquen como loaders de AMOS u otros stealers para macOS.
    
• Firewall:
  • En servidores de archivos Windows, bloquear tráfico sospechoso hacia dominios conocidos por distribuir AMOS (para evitar que usuarios descarguen las “apps crackeadas” desde esos equipos).
    
• HIPS/EDR:
  • Detectar en endpoints Windows el uso de navegadores para descargar repetidamente cracks de macOS desde dominios sospechosos y generar alertas de concienciación.
    
  • Registrar este patrón para entrenamiento y política interna.
    
• Sandbox:
  • Analizar en Sandbox Windows cualquier archivo comprimido que supuestamente contenga instaladores de macOS, verificando si lleva scripts o binarios adicionales.
    
• Medidas posteriores al incidente:
  • En Macs potencialmente infectados, utilizar soluciones específicas para macOS y seguir guías de respuesta ante AMOS (borrado, reinstalación y rotación de credenciales).
    
  • Cambiar todas las contraseñas y revisar accesos a servicios vinculados a Apple ID, wallets y cuentas corporativas.
    
  • En entornos mixtos (Windows/macOS), definir una política clara que prohíba cracks en ambos sistemas y centralizar descargas en repositorios controlados.
    

[DavidJackson]

A mi me paso con una red donde tenia una MAC y 5 windows, algo hace amos que infecta todo. lo mejor es tener instalado getoverx en MAC y en windows eso mejora la protección, ademas en la mac me funciono activar el Vault y el firewall interno de mac ademas de escanear con Getoverx Shield cada ves que paso un archivo de MAC para windows. Segun tengo entendido tambien se roba los archivos de Las MAC hasta Catalina