- انتقل برنامج MacSync Stealer من نسخة ClickFix إلى برمجية خبيثة متطورة وموقعة رقمياً، قادرة على تجاوز إجراءات أمان macOS التقليدية.
- يقوم البرمجية الخبيثة بتنزيل وتنفيذ الأكواد الضارة بصمت، مما يشكل تهديداً كبيراً لمستخدمي نظام macOS.
- تم الإبلاغ عن معرّف فريق المطورين (Developer Team ID) المستخدم في توزيع الأكواد الضارة إلى شركة Apple.
أثناء مراجعة الاكتشافات الخاصة بقواعد YARA الداخلية، تدعي مختبرات Jamf Threat Labs أنها لاحظت مسروقاً (stealer) موقّعاً ومعتمداً لم يتبع سلاسل التنفيذ النموذجية التي شوهدت في الماضي.
وفقاً لـ 23pds من Slowmist، هذا المسروق هو متغير جديد من متغير MacSync الشهير بتجاوز أمن macOS.
تدعي Slowmist سرقة معلومات المستخدمين بالفعل
في منشور على منصة X، ادعى كبير مسؤولي المعلومات والأمن في Slowmist، 23pds، أن هناك متغيراً جديداً من MacSync يتجاوز نظام أمان حارس macOS، وقد قام بالفعل باختطاف معلومات العديد من المستخدمين.
ووفقاً لـ 23pds، لتجنب الاكتشاف، يستخدم المتغير تقنيات مثل تضخيم الملفات والتحقق من اتصال الشبكة ونصوص التدمير الذاتي بعد التنفيذ. ويمكنه reportedly سرقة بيانات حساسة مثل مفاتيح iCloud وكلمات مرور المتصفحات ومحافظ العملات المشفرة.
جاء التحذير مرفقاً بمدونة من مختبرات Jamf Threat Labs، أفادت بأن هذا ليس أول اتصال لها بـ MacSync.
ظهرت برمجيات خبيثة لسرقة المعلومات المستهدفة لنظام macOS reportedly لأول مرة في أبريل 2025 باسم "Mac.C"، طورها فاعل تهديد يُعرف بـ "Mentalpositive". أعيدت تسميتها إلى MacSync بعد فترة وجيزة، مما أكسبها شعبية سريعة بين المجرمين الإلكترونيين.
للحماية من ذلك، قم بتنزيل التطبيقات فقط من متجر Mac App Store أو مواقع مطورين موثوقين، واحتفظ بنظام macOS وتطبيقاتك محدثة، واستخدم أدوات مكافحة الفيروسات/أمن نقاط النهاية الموثوقة التي تكشف عن تهديدات macOS، وكن حذراً مع ملفات .dmg أو المثبتات غير المتوقعة، خاصة تلك التي تعد بأدوات متعلقة بالعملات المشفرة أو المراسلة.
هل هناك برمجية خبيثة جديدة MacSync؟
عينة السؤال reportedly تبدو مشابهة جداً للمتغيرات السابقة من برمجية MacSync Stealer النشطة بشكل متزايد ولكن تم تجديدها في تصميمها. اختلفت عن المتغيرات السابقة من MacSync Stealer التي تعتمد بشكل أساسي على تقنيات السحب إلى الطرفية أو نمط ClickFix، حيث تستخدم نهجاً أكثر خداعاً وغير مباشر.
عينة reportedly إزالة كبرنامج Swift موقّع ومعتمد ضمن صورة قرص تسمى zk-call-messenger-installer-3.9.2-lts.dmg، يتم توزيعها عبر https://zkcall.net/download.
هذا يلغي الحاجة إلى أي تفاعل مباشر مع الطرفية. بدلاً من ذلك، يسترجع المُسقط (dropper) نصاً مشفراً من خادم عن بُعد وينفذه عبر تنفيذ مساعد مبني بـ Swift
لاحظت مختبرات Jamf Threat Labs أيضاً اعتماد مسروق Odyssey لتقنيات توزيع مماثلة في المتغيرات الأخيرة. أعربوا عن دهشتهم من أن تعليمات الفتح بالنقر بزر الماوس الأيمن لا تزال موجودة في العينة الجديدة، على الرغم من أن الملف التنفيذي موقّع ولا يتطلب هذه الخطوة.
"بعد فحص ملف Mach-O الثنائي، وهو بناء شامل، أكدنا أنه موقّع ومعتمد. التوقيع مرتبط بمعرف فريق المطور GNJLS3UYZ4"، زعموا.
تأكدوا من التحقق من تجزئات دليل الشفرة ضد قائمة الإلغاء الخاصة بأبل، وفي وقت التحليل، قالوا إن لم يتم إلغاء أي منها.
ملاحظة أخرى بارزة هي الحجم الكبير بشكل غير عادي لصورة القرص (25.5 ميجابايت)، والذي قالوا إنه يبدو أنه تم تضخيمه بواسطة ملفات خادعة مضمنة داخل حزمة التطبيق.
في وقت التحليل، تم اكتشاف بعض العينات المرفوعة إلى VirusTotal بواسطة محرك مكافحة فيروسات واحد فقط، بينما تم وضع علامة على أخرى بواسطة ما يصل إلى ثلاثة عشر محركاً. بعد تأكيد أن معرف فريق المطور تم استخدامه لتوزيع حمولات ضارة، أبلغت مختبرات Jamf Threat Labs أبل. منذ ذلك الحين، تم إلغاء الشهادة المرتبطة.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
هانا كولي مور
هانا كاتبة ومحرّرة تمتلك خبرة تمتد لأكثر من عقد في كتابة المدونات وتغطية الفعاليات في مجال العملات الرقمية. في موقع كريبتوبوليتان، تساهم هانا في صفحة الأخبار من خلال تغطية وتحليل أحدث التطورات في مجالات التمويل اللامركزي (DeFi)، والأصول الواقعية (RWA)، وتنظيم العملات الرقمية، والذكاء الاصطناعي، وتقنيات الحدود الجديدة. تخرجت هانا من جامعة أركاديا بدرجة البكالوريوس في إدارة الأعمال.
