Un malware ladrón de información para macOS sustituía Ledger Live por un clon que robaba la frase de recuperación

Moonlock Lab informó de campañas en las que un malware de robo de información para macOS elimina la aplicación Ledger Live auténtica e instala una falsa casi idéntica. Según Moonlock, la aplicación falsa muestra un mensaje de que Ledger Live ha sufrido un error crítico y pide la frase de recuperación de 24 palabras para recuperar la cuenta; todo lo que se introduce se envía a un servidor controlado por el atacante. BleepingComputer informa de que las víctimas de una de las variantes veían después un mensaje “App corrupted”, lo que daba tiempo a los atacantes para vaciar los fondos.

Moonlock atribuye la primera versión funcional al stealer Odyssey de un actor conocido como Rodrigo, activo desde marzo de 2025, y encontró una página de phishing casi idéntica en Atomic macOS Stealer (AMOS). BleepingComputer describe una campaña de AMOS distribuida como un DMG llamado JandiInstaller.dmg que eludía Gatekeeper, y una muestra independiente basada en PyInstaller encontrada por Jamf Threat Labs que cargaba la página de phishing en una ventana falsa de Ledger Live. Moonlock dice que sigue clones relacionados de Ledger Live desde agosto de 2024, que las versiones anteriores solo podían robar contraseñas, notas y datos de billeteras, y señala que la infección inicial se basa en ingeniería social, como software pirateado, herramientas cripto falsas o anuncios maliciosos.

Las campañas dependen de que un malware que ya se ejecuta en el Mac sustituya la aplicación; las fuentes no describen ningún fallo en los dispositivos de Ledger. Ni el informe de Moonlock ni el artículo de BleepingComputer contienen una declaración de Ledger. BleepingComputer publicó su informe el 22 de mayo de 2025; el artículo de Moonlock en su sitio está fechado el 30 de mayo de 2025.