In Breve
- Cos'è MacSync?
- MacSync è un infostealer per macOS che utilizza inviti del calendario iCloud per installarsi e rubare dati.
- Come si diffonde MacSync?
- MacSync si diffonde tramite loader pubblicizzati su social media e siti fraudolenti, inducendo le vittime a eseguire comandi nel Terminale.
- Quali dati può rubare MacSync?
- MacSync può rubare cronologia browser, credenziali salvate, dati di wallet, informazioni di Telegram e altro.
MacSync: il malware che sfrutta iCloud per rubare dati su macOS
Un nuovo malware per macOS, noto come MacSync, ha attirato l’attenzione degli esperti di sicurezza informatica per la sua capacità di sfruttare inviti del calendario iCloud e risorse di cloud storage per installare componenti dannosi sui dispositivi. Questo infostealer, emerso ad aprile 2025, si distingue per la sua sofisticatezza e per l’uso di tecniche ingannevoli per colpire le vittime.
Come funziona MacSync
Il vettore d’infezione di MacSync è un loader pubblicizzato su social media e siti fraudolenti, spesso camuffato da software “cracked” o portafogli per criptovalute. Le vittime sono indotte a eseguire un comando nel Terminale per risolvere un finto errore, noto come ClickFix, che avvia il loader e installa il malware.
Una volta attivato, il loader effettua una richiesta legittima al calendario iCloud, cercando un evento pubblico predisposto dagli aggressori. Nella descrizione di questo evento, sono incluse istruzioni e l’indicazione della posizione del payload, spesso ospitato anch’esso su iCloud. Questo metodo consente al caricatore di scaricare e installare l’infostealer senza generare traffico sospetto evidente, rendendo difficile la rilevazione da parte degli utenti e dei software di sicurezza.
Le capacità di esfiltrazione di MacSync
MacSync, scritto in Swift e derivato dal malware AMOS, ha mostrato un’evoluzione significativa nelle sue capacità di esfiltrazione. Tra i dati che è in grado di raccogliere ci sono la cronologia e i cookie dei browser, le credenziali salvate, i dati di wallet e app per criptovalute, informazioni di Telegram, elementi del Portachiavi (Keychain), e file di configurazione per SSH, AWS, Kubernetes, Git e shell.
Le varianti più recenti di MacSync includono un backdoor in Objective-C che si maschera da Finder, stabilendo persistenza nel sistema, terminando processi di notifica per prevenire avvisi e fornendo accesso remoto al controllo del dispositivo. Questo accesso remoto consente l’esecuzione di AppleScript ricevuti dal server di comando e controllo, l’installazione di estensioni del browser, la sostituzione dell’app Ledger e la raccolta di ulteriori informazioni di sistema.
Rischi e raccomandazioni
Un comando non definito, denominato live_browser, è stato rilevato, il quale scarica ed esegue un componente chiamato sn_relay, la cui funzione rimane ancora poco chiara. Gli esperti notano un significativo rinnovamento tecnico nelle versioni recenti di MacSync rispetto alle precedenti.
Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori rappresenta un rischio esteso, potenzialmente favorendo intrusioni più ampie nei sistemi aziendali. Pertanto, si raccomanda di esercitare estrema cautela nel download di programmi da fonti non ufficiali e di essere scettici nei confronti delle applicazioni che richiedono la password di amministratore.
