MacSync: il malware per Mac che sfrutta iCloud per rubare dati
Scopri come MacSync, un nuovo infostealer per macOS, utilizza inviti del calendario iCloud per installare malware sui dispositivi degli utenti.
In Breve
- Cos'è MacSync?
- MacSync è un infostealer per macOS che utilizza inviti del calendario iCloud per installare malware sui dispositivi.
- Come si diffonde MacSync?
- MacSync si diffonde tramite un loader pubblicizzato su social media e siti fraudolenti, inducendo le vittime a eseguire comandi nel Terminal.
- Quali dati può rubare MacSync?
- MacSync può raccogliere dati come cronologia dei browser, credenziali salvate e informazioni di wallet per criptovalute.
Un nuovo infostealer per macOS, denominato MacSync, sta suscitando preoccupazione tra gli utenti di Apple. Questo malware sfrutta gli inviti del calendario iCloud e le risorse di cloud storage per scaricare e installare componenti dannosi sui dispositivi. Il vettore d’infezione si presenta sotto forma di un loader, pubblicizzato su social media, siti fraudolenti e tramite SEO poisoning, spacciandosi per software “cracked” o wallet per criptovalute.
Le vittime vengono indotte a eseguire un comando nel Terminal per risolvere un finto errore, noto come ClickFix, che avvia il loader e installa il malware. Questo processo è particolarmente subdolo, poiché il loader effettua una richiesta legittima al calendario iCloud e cerca un evento pubblico predisposto dagli aggressori. Nella descrizione dell’evento sono fornite istruzioni e indicazioni sulla posizione del payload, spesso anch’essa ospitata su iCloud. Questo metodo consente al caricatore di scaricare e installare l’infostealer senza generare traffico sospetto evidente.
MacSync è emerso nel panorama della sicurezza informatica ad aprile 2025 e deriva da un malware precedente noto come AMOS. Scritto in Swift, MacSync ha mostrato un’evoluzione significativa, acquisendo nuove capacità di esfiltrazione. Tra i dati che può raccogliere ci sono la cronologia e i cookie dei browser, le credenziali salvate, i dati di wallet e app per criptovalute, informazioni di Telegram, elementi del Portachiavi (Keychain), dati di sistema e dispositivo, oltre a file di configurazione SSH, AWS, Kubernetes, Git e shell.
Le varianti più recenti di MacSync integrano un backdoor in Objective-C che si presenta come il Finder, stabilendo persistenza nel sistema, terminando processi di notifica per prevenire avvisi e fornendo accesso remoto al controllo. Questo include l’esecuzione di AppleScript ricevuti dal server di comando e controllo, l’installazione di estensioni browser, la sostituzione dell’app Ledger e la raccolta di ulteriori informazioni di sistema.
Recentemente, è stato rilevato un comando non definito denominato live_browser, che scarica ed esegue un componente chiamato sn_relay, la cui funzione rimane ancora poco chiara. I ricercatori hanno osservato un significativo rinnovamento tecnico nelle versioni recenti rispetto a quelle precedenti, suggerendo un continuo sviluppo da parte degli aggressori.
Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori comporta rischi estesi per gli utenti finali e i sistemi aziendali, potenzialmente favorendo intrusioni più ampie. Pertanto, si raccomanda di prestare estrema cautela nel download di programmi da terze parti e di mantenere un atteggiamento scettico verso applicazioni che richiedono la password di amministratore.
