Нов зловреден софтуер MacSync превръща macOS приложения в инструменти за кражба на криптовалути и пароли

MacSync, бързо променящ се зловреден софтуер за кражба на информация (information stealer) за macOS, се завърна с по-сложна верига за доставка, насочена към хора, които използват криптовалута и инструменти за разработка.

Вместо да разчита предимно на поставена команда в Terminal, последната активност започва със злонамерени файлове с дискови изображения (disk-image), които се представят за истински приложения. Операторите могат да променят начина на доставка между различните кампании.

Жертвите могат да срещнат зловредния софтуер чрез фалшив или пиратски софтуер, включително несъществуващо приложение за крипто портфейл, наречено Toria.

След като бъде отворено, приложението може да премахне карантинните атрибути на macOS, да изтегли допълнителен код и в крайна сметка да инсталира инструменти, създадени за кражба на пароли, данни от портфейли и работни идентификационни данни. Атакуващите популяризираха измисления портфейл в социалните мрежи.

Анализатори от Securelist идентифицираха новата верига през септември 2026 г., отбелязвайки ясна промяна от доставка, базирана предимно на скриптове, към компилирани компоненти, написани на Swift и Objective-C.

От Kaspersky заявяват в доклад, споделен с Cyber Security News (CSN), че промяната прави MacSync по-гъвкав, като същевременно дава на атакуващите повече начини да скрият активността си както на Apple Silicon, така и на Intel Mac компютри. Не всяка кампания на MacSync използва тази верига.

Откраднати браузърни сесии, облачни ключове, SSH настройки, данни от системи за контрол на изходния код и материали от портфейли могат да разкрият лични профили и потенциално да дадат на киберпрестъпниците път към корпоративни среди, както показват по-ранни доклади за атаки с фалшиви инсталатори на MacSync. Изследователите не са публикували брой на жертвите, така че мащабът на инфекциите остава неизвестен.

New MacSync Malware Turns macOS Apps

Кампанията започва със злонамерен DMG файл, съдържащ пакет с приложение (application bundle). При един от маршрутите той изпълнява компилиран JXA скрипт директно в паметта.

При друг, зареждачът (loader) преминава през няколко дропъра (droppers), преди да изтегли крайните компоненти – значително развитие спрямо по-ранния метод за доставка ClickFix. И двата маршрута доставят инструменти за кражба и отдалечен контрол.

Един от зареждачите възстановява криптиран адрес и, поне в един случай, извлича публичен календар в iCloud. Събитието крие команди в своето описание.

Тези команди изтеглят архив, съдържащ друго приложение, премахват неговите маркировки за сигурност, добавят ad-hoc подпис и го изпълняват. Използването на публичен календар превръща обикновена функция за споделяне в неочаквана стъпка за доставка на зловреден софтуер.

По-късните етапи декриптират софтуер за кражба на информация (information stealer) и задна врата (backdoor). Временните файлове и заключващите файлове (lock files) помагат за управлението на изпълнението, докато завършените модули изтриват логовете и другите следи.

MacSync също така проверява за виртуални машини и блокира дебъгери, което затруднява разследването. Те също така усложняват проверките на инфектирани устройства. Зловредният софтуер може да се маскира като Finder и да остане активен чрез LaunchAgent, ZSH настройки при стартиране и глобални Git hooks.

Неговата процедура за възстановяване възстановява файлове и подтиска известията при стартиране. Това поддържане на присъствието (persistence) е от значение, тъй като премахването на първото злонамерено приложение може да не прекрати неоторизирания достъп.

Passwords, Wallets, and Developer Data at Risk

Инструментът за кражба, базиран на Swift, изисква администраторската парола чрез прозорец, пригоден според приложението, което имитира. След като жертвата отговори, той показва фалшиво предупреждение за повредено приложение.

Той потвърждава паролата чрез интерфейсите за автентификация на macOS, вместо чрез по-стария метод с команден ред. Предупреждението кара неуспешната инсталация да изглежда като нещо обичайно.

Той събира история на браузъра, бисквитки, запазени данни за вход, данни от разширения за портфейли, Keychain файлове, информация от Telegram и подробности за устройството.

Той също така търси конфигурационни файлове и истории, свързани с SSH, ZSH, AWS, Kubernetes и Git, разширявайки обхвата си в работните процеси за разработка на софтуер. Такива файлове могат да съдържат подробности за достъп до облачни услуги или хранилища, увеличавайки рисковете извън инфектирания Mac.

Задната врата (backdoor) комуникира през HTTP и може да получава команди, да качва файлове, да внедрява разширение за браузър или да замени инсталиран Ledger портфейл със злонамерена версия.

Неговата функция за наблюдение на браузъра в реално време може да позволи прихващане на трафика в браузъра, въпреки че изследователите не можаха да определят точната цел на помощния модул. Изследователите не разполагаха със самите скриптове с команди.

Потребителите трябва да получават софтуер само от потвърдени сайтове на разработчици и да избягват безплатни или пиратски копия. Те не трябва да заобикалят предупрежденията на macOS, да поставят непотвърдени команди в Terminal или да одобряват неочаквани подканвания за парола.

Екипите трябва да разследват непознати елементи при стартиране, променени Git hooks и съмнителни изходящи качвания, прилагайки наученото от ротацията на домейни на MacSync и злоупотребата с подписани macOS приложения.

Ако се подозира компрометиране, изолирайте Mac компютъра, прекратете сесиите и сменете идентификационните данни от доверено устройство. Прегледът на всички точки за поддържане на присъствието (persistence points) е от съществено значение, преди Mac компютърът да бъде върнат онлайн.

Indicators of compromise (IoCs):-

Забележка: IP адресите и домейните са нарочно деактивирани (напр. [.]), за да се предотврати случайно разрешаване на имена или създаване на хипервръзки. Възстановете ги в активен вид само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.