AMOS (Atomic macOS Stealer) – Infostealer – 2023

[mrwebfeeder]

Nombre:
Atomic macOS Stealer (AMOS)
Categoría:
Infostealer para macOS (MaaS)
Fecha de descubrimiento:
Alrededor de 2023
Comportamiento (lo que hace y archivos que infecta):

• Malware para macOS capaz de robar:
  • Contraseñas del llavero (Keychain).
    
  • Credenciales de navegador, autofill, wallets, notas, etc.
    
• Vendido como servicio en Telegram, con campañas continuas y mejoras constantes (incluso backdoor persistente)
  
• Se distribuye como:
  • Apps “crackeadas” para macOS (ej. copias pirata de apps de pago).
    
  • Sitios y GitHub Pages falsos que suplantan software legítimo (Homebrew, apps para Mac, etc.).
    

Persistencia:

• Aprovecha instaladores manipulados y scripts (por ejemplo AppleScript o comandos de terminal) que el usuario copia y pega manualmente.
  
• Nuevas versiones incluyen backdoor capaz de sobrevivir reinicios y descargar más malware.
  

Hash real de referencia (SHA-256):
Ejemplo de payload AMOS usado en campañas ClickFix:

Code:

94379fa0a97cc2ecd8d5514d0b46c65b0d46ff9bb8d5a4a29cf55a473da550d5

Mitigación con GetOverX Shield v3.0.2.0 o superior:
(Nota: GetOverX Shield protege principalmente endpoints Windows, pero puede ayudar a proteger infraestructura Windows donde se descargan o almacenan cracks para macOS.)

• Antivirus:
  • Analizar con GetOverX Shield cualquier archivo
    
    Code:

    .zip
    ,
    
    Code:

    .dmg
    o instalador de macOS que se descargue y almacene en servidores Windows o estaciones de trabajo Windows antes de ser transferido al Mac.
    
  • Bloquear y registrar archivos que se identifiquen como loaders de AMOS u otros stealers para macOS.
    
• Firewall:
  • En servidores de archivos Windows, bloquear tráfico sospechoso hacia dominios conocidos por distribuir AMOS (para evitar que usuarios descarguen las “apps crackeadas” desde esos equipos).
    
• HIPS/EDR:
  • Detectar en endpoints Windows el uso de navegadores para descargar repetidamente cracks de macOS desde dominios sospechosos y generar alertas de concienciación.
    
  • Registrar este patrón para entrenamiento y política interna.
    
• Sandbox:
  • Analizar en Sandbox Windows cualquier archivo comprimido que supuestamente contenga instaladores de macOS, verificando si lleva scripts o binarios adicionales.
    
• Medidas posteriores al incidente:
  • En Macs potencialmente infectados, utilizar soluciones específicas para macOS y seguir guías de respuesta ante AMOS (borrado, reinstalación y rotación de credenciales).
    
  • Cambiar todas las contraseñas y revisar accesos a servicios vinculados a Apple ID, wallets y cuentas corporativas.
    
  • En entornos mixtos (Windows/macOS), definir una política clara que prohíba cracks en ambos sistemas y centralizar descargas en repositorios controlados.