In Breve
- Cosa è MacSync?
- MacSync è un infostealer per macOS che utilizza inviti del calendario iCloud per installarsi sui dispositivi.
- Quali dati può rubare MacSync?
- MacSync può rubare cronologia browser, credenziali salvate, dati di wallet e informazioni di sistema.
- Come si diffonde MacSync?
- MacSync si diffonde tramite un loader pubblicizzato su social media e siti fraudolenti.
Un nuovo malware per macOS, denominato MacSync, ha attirato l’attenzione degli esperti di sicurezza informatica per il suo metodo di distribuzione innovativo e subdolo. Utilizzando inviti del calendario iCloud e risorse di cloud storage, MacSync riesce a scaricare e installare componenti dannosi sui dispositivi degli utenti.
Il vettore d’infezione di MacSync si basa su un loader che viene pubblicizzato su social media, siti fraudolenti e attraverso tecniche di SEO poisoning. Questo loader si spaccia per software “cracked” o wallet per criptovalute, inducendo le vittime a eseguire un comando nel Terminal per risolvere un finto errore, noto come ClickFix. Questo comando avvia il loader e, di conseguenza, installa il malware.
Una volta attivato, il loader effettua una richiesta legittima al calendario iCloud per cercare un evento pubblico predisposto dagli aggressori. Nella descrizione di tale evento sono fornite istruzioni e indicazioni sulla posizione del payload, spesso ospitato su iCloud stesso. Questo metodo consente al caricatore di scaricare e dispiegare l’infostealer senza generare traffico sospetto, rendendo difficile la rilevazione.
MacSync è emerso nel panorama della sicurezza informatica ad aprile 2025 e deriva da un precedente malware noto come AMOS. Scritto in Swift, MacSync ha mostrato un’evoluzione significativa, ampliando le sue capacità di esfiltrazione. Tra i dati che può rubare ci sono la cronologia e i cookie dei browser, le credenziali salvate, i dati di wallet e app per criptovalute, informazioni di Telegram, elementi del Portachiavi (Keychain), dati di sistema e dispositivo, e file di configurazione per SSH, AWS, Kubernetes, Git e shell.
Le varianti più recenti di MacSync integrano anche un backdoor in Objective-C che si traveste da Finder, stabilendo persistenza nel sistema e terminando processi di notifica per prevenire avvisi. Questo consente agli aggressori di avere accesso remoto al dispositivo, inclusa l’esecuzione di AppleScript ricevuti dal server di comando e controllo, l’installazione di estensioni per browser, la sostituzione dell’app Ledger e la raccolta di ulteriori informazioni di sistema.
In aggiunta, è stato rilevato un comando non definito chiamato live_browser che scarica ed esegue un componente noto come sn_relay, la cui funzione rimane ancora poco chiara. I ricercatori hanno notato un significativo rinnovamento tecnico nelle versioni recenti di MacSync rispetto alle precedenti.
Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori comporta rischi estesi per gli utenti finali e i sistemi aziendali, potenzialmente favorendo intrusioni più ampie. Per questo motivo, si raccomanda di prestare estrema cautela nel download di programmi da fonti non ufficiali e di essere scettici nei confronti di applicazioni che richiedono la password di amministratore.