In Breve
- Cos'è MacSync?
- MacSync è un infostealer per macOS che utilizza inviti del calendario iCloud per installarsi sui dispositivi.
- Come si diffonde MacSync?
- Si diffonde tramite un loader pubblicizzato su social media e siti fraudolenti, inducendo le vittime a eseguire comandi nel Terminal.
- Quali dati può rubare MacSync?
- MacSync può esfiltrare dati come cronologia dei browser, credenziali salvate, e informazioni su wallet e app per criptovalute.
Un nuovo malware per macOS, noto come MacSync, sta attirando l’attenzione degli esperti di sicurezza informatica per il suo metodo innovativo di distribuzione. Utilizzando inviti del calendario iCloud e risorse di cloud storage, questo infostealer riesce a scaricare e installare componenti dannosi sui dispositivi degli utenti.
Il vettore d’infezione di MacSync si presenta sotto forma di un loader, pubblicizzato su social media, siti fraudolenti e tramite tecniche di SEO poisoning. Spacciandosi per software “cracked” o wallet per criptovalute, il malware inganna le vittime inducendole a eseguire un comando nel Terminal per risolvere un finto errore, noto come ClickFix. Questo comando avvia il loader e avvia l’installazione del malware.
Una volta attivato, il loader effettua una richiesta legittima al calendario iCloud, cercando un evento pubblico predisposto dagli aggressori. Nella descrizione di questo evento, gli aggressori inseriscono istruzioni e indicazioni sulla posizione del payload, spesso ospitato anch’esso su iCloud. Questo metodo consente al caricatore di scaricare e installare l’infostealer senza generare traffico sospetto evidente.
MacSync è emerso nel panorama delle minacce informatiche ad aprile 2025 e deriva da un malware precedente noto come AMOS. Scritto in Swift, MacSync si è evoluto con nuove capacità di esfiltrazione, riuscendo a raccogliere informazioni sensibili come cronologia e cookie dei browser, credenziali salvate, dati relativi a wallet e app per criptovalute, informazioni di Telegram e elementi del Portachiavi (Keychain). Inoltre, il malware è in grado di raccogliere informazioni di sistema e dispositivo, file di configurazione SSH, AWS, Kubernetes, Git e shell.
Le varianti più recenti di MacSync integrano anche un backdoor in Objective-C che si camuffa da Finder, stabilendo persistenza nel sistema, terminando processi di notifica per prevenire avvisi e fornendo accesso remoto al controllo. Ciò include l’esecuzione di AppleScript ricevuti dal server di comando e controllo, l’installazione di estensioni per browser e la sostituzione dell’app Ledger, oltre alla raccolta di ulteriori informazioni di sistema.
Un comando non definito, denominato “live_browser”, è stato rilevato e sembra scaricare ed eseguire un componente chiamato “sn_relay”, la cui funzione rimane ancora poco chiara. I ricercatori hanno notato un significativo rinnovo tecnico nelle versioni più recenti rispetto alle precedenti.
Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori comporta rischi estesi per utenti finali e sistemi aziendali, potenzialmente favorendo intrusioni più ampie. Pertanto, si raccomanda estrema cautela nel download di programmi da terze parti e di mantenere uno scetticismo verso applicazioni che richiedono la password di amministratore.
