Guille Lomener
EditorLa frase "el mejor antivirus es el sentido común" ha sido mi mantra personal desde la época de Snow Leopard. La he repetido hasta la saciedad a amigos y familiares que llegaban al ecosistema Apple con el miedo en el cuerpo heredado de Windows. Durante quince años, macOS ha sido para mí una fortaleza donde Gatekeeper y XProtect hacían el trabajo sucio en silencio, permitiéndome vivir tranquilo sin software de terceros.
Pero las reglas del juego acaban de cambiar de una forma que me ha hecho replantearme mis dogmas. La última amenaza detectada no intenta derribar la puerta a patadas ni te pide que hagas trucos raros en la Terminal. Entra por la puerta principal, saludando al portero y con un pase VIP firmado, increíblemente, por la propia Apple.
El lobo con piel de cordero certificado por Apple
Lo que ha descubierto Jamf Threat Labs es una evolución del malware conocido como MacSync Stealer. Hasta ahora, estos virus eran bastante torpes. Solían pedir al usuario que hiciera clic derecho para abrir archivos sospechosos o que pegara comandos extraños. Eran fáciles de detectar si tenías un mínimo de experiencia y, como dije al principio, sentido común.
La novedad y la noticia es que esta nueva variante llega disfrazada como una aplicación legítima, escrita en lenguaje Swift nativo y, lo más grave, está firmada con un Developer ID válido y notariada por Apple. Esto significa que, cuando descargas el instalador, a menudo camuflado como aplicaciones de mensajería o herramientas de productividad, macOS no te lanza la advertencia de peligro. El sistema en el que confiamos le da el visto bueno porque, sobre el papel, los documentos del desarrollador están en regla.
La trampa de la "cáscara vacía"
Seguramente te preguntes ¿cómo es posible que Apple analice una app, le ponga su sello de notariado y resulte ser un virus? La respuesta está en la sofisticación del ataque. Los creadores de este malware han aprendido a jugar con los tiempos.
La aplicación que te descargas e instalas es, en realidad, una cáscara casi vacía. Cuando Apple la revisa en sus servidores para notariarla, la app se comporta bien. No contiene código malicioso evidente. El problema empieza cuando la ejecutas en tu casa.
El instalador mostraba que todo estaba correcto, con las autorizaciones de Apple
Una vez abierta, la app conecta con un servidor remoto y se descarga el código malicioso en ese momento. Es decir, el virus no venía en la caja, sino que la caja lo llama una vez ha pasado el control de seguridad. Según el análisis técnico de Jamf, el malware incluso realiza comprobaciones antes de actuar. Verifica si hay una conexión a internet y se asegura de no estar siendo ejecutado en un entorno de pruebas de un investigador como el de Apple. Si ve vía libre, que está en una casa u oficina normal y corriente, descarga un script en carpetas temporales del sistema, ejecuta el robo de datos y trata de borrar sus huellas.
He roto mi regla de oro: hola antivirus
Aunque Apple reaccionó revocando el certificado del desarrollador una vez que Jamf dio la voz de alarma, el susto se me ha quedado en el cuerpo. El sistema "funciona", sí, pero los atacantes han encontrado la grieta perfecta entre la revisión de Apple y lo que la app hace después.
Por eso, tras revisar varias opciones gratuitas, de las que ya hemos hablado alguna vez, he decidido instalar Avast. Es un clásico del sector y me he decantado por él por sus altas tasas de detección cercanas al 99%. Necesitaba una capa de seguridad que no solo mire si el certificado de Apple es válido, sino que analice el comportamiento de lo que entra en mi Mac en tiempo real. Archivo a archivo. Carpeta a carpeta. Código a código.
Sé lo que muchos estaréis pensando, porque yo pensaba igual. "No quiero un antivirus porque me va a destrozar el rendimiento". Es un trauma que arrastramos de los ordenadores de hace una década, donde el antivirus se comía la mitad de los recursos.
Incluso haciendo un análisis profundo, Avast no consume más RAM que una app como Telegram
Afortunadamente, el hardware nos ha quitado esa excusa. Con la potencia de los chips Apple Silicon, M1, M2, M3 y siguientes, la velocidad de los SSD actuales y la gestión de memoria unificada, el impacto de tener este escudo activo es, literalmente, imperceptible. Llevo días con él y el sistema vuela igual que siempre. No hay ventiladores sonando ni pelotas de playa girando.
Y no se trata de vivir con miedo, sino de adaptarse. Si los malos han aprendido a falsificar las credenciales de seguridad de Apple, quizás el sentido común necesite un pequeño ayudante instalado en la barra de menús en forma de antivirus.
En Applesfera | Los 10 mejores antivirus para tu Mac, tanto gratis como de pago
En Applesfera | Nuevo macOS 27 - Todo lo que creemos saber sobre él
Ver 0 comentarios