In Breve
- Cosa è MacSync?
- MacSync è un infostealer per macOS che utilizza inviti del calendario iCloud per installare malware sui dispositivi.
- Come si diffonde MacSync?
- Si diffonde tramite un loader pubblicizzato su social media e siti fraudolenti, inducendo le vittime a eseguire comandi nel Terminal.
- Quali dati può rubare MacSync?
- Può rubare cronologia browser, credenziali, dati di wallet di criptovalute e informazioni di sistema.
Un nuovo malware per macOS, denominato MacSync, sta suscitando preoccupazione tra gli utenti Apple. Questo infostealer utilizza inviti del calendario iCloud e risorse di cloud storage per scaricare e installare componenti dannosi sui dispositivi, mettendo a rischio dati sensibili.
Il vettore d’infezione di MacSync è un loader pubblicizzato su social media, siti fraudolenti e tramite SEO poisoning, spacciandosi per software “cracked” o wallet per criptovalute. Le vittime vengono indotte a eseguire un comando nel Terminal per risolvere un finto errore, noto come ClickFix, che avvia il loader e installa il malware.
Una volta attivato, il loader effettua una richiesta legittima al calendario iCloud, cercando un evento pubblico predisposto dagli aggressori. Nella descrizione dell’evento sono inserite istruzioni e l’indicazione della posizione del payload, spesso ospitato anch’esso su iCloud. Questo metodo consente al caricatore di scaricare e dispiegare l’infostealer senza generare traffico sospetto evidente.
MacSync è emerso ad aprile 2025 ed è derivato da un malware precedente noto come AMOS. Scritto in Swift, ha mostrato un’evoluzione con nuove capacità di esfiltrazione, tra cui la raccolta di cronologia e cookie dei browser, credenziali salvate, dati di wallet e app per criptovalute, informazioni di Telegram e elementi del Portachiavi (Keychain). Inoltre, raccoglie informazioni di sistema e dispositivo, oltre a file di configurazione SSH, AWS, Kubernetes, Git e shell.
Le varianti più recenti di MacSync integrano un backdoor in Objective-C che finge di essere il Finder, stabilendo persistenza sul dispositivo e terminando processi di notifica per prevenire avvisi. Questo backdoor fornisce accesso remoto al controllo, inclusa l’esecuzione di AppleScript ricevuti dal server di comando e controllo, l’installazione di estensioni browser e la sostituzione dell’app Ledger.
È stato inoltre rilevato un comando non definito denominato live_browser che scarica ed esegue un componente chiamato sn_relay, la cui funzione rimane ancora poco chiara. I ricercatori hanno osservato un significativo rinnovamento tecnico nelle versioni recenti rispetto alle precedenti.
Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori comporta rischi estesi per utenti finali e sistemi aziendali, potenzialmente favorendo intrusioni più ampie.
Per proteggersi da MacSync, si raccomanda estrema cautela nel download di programmi da terze parti e scetticismo verso applicazioni che richiedono la password di amministratore. La consapevolezza e la prudenza sono le migliori difese contro questo tipo di minacce informatiche.
