Nutzer-Assets bereits gestohlen, da neue MacSync-Variante macOS-Sicherheit umgeht
- Der MacSync Stealer hat sich von einer ClickFix-Variante zu einer ausgefeilteren, code-signierten Malware entwickelt, die in der Lage ist, traditionelle macOS-Sicherheitsmaßnahmen zu umgehen.
- Die Malware lädt und führt im Hintergrund Payloads aus und stellt eine erhebliche Bedrohung für macOS-Nutzer dar.
- Die Developer Team ID, die zur Verteilung der schädlichen Payloads verwendet wurde, wurde an Apple gemeldet.
Während sie die Erkennungen ihrer hauseigenen YARA-Regeln überprüfte, behauptet Jamf Threat Labs, eine signierte und notariell beglaubigte Stealer-Malware beobachtet zu haben, die nicht den typischen Ausführungsketten folgte, die in der Vergangenheit gesehen wurden.
Laut 23pds von Slowmist, ist dieser Stealer eine neue Variante der MacSync-Variante, die berühmt dafür ist, die macOS-Sicherheit zu umgehen.
Slowmist behauptet, Benutzerinformationen seien bereits gestohlen
In einem X-Post behauptete Slowmist’s Chief Information Security Officer, 23pds, dass es eine neue Variante von MacSync gibt, die das macOS-Gatekeeper-Sicherheitssystem umgeht, und dass sie bereits die Informationen vieler Benutzer übernommen hat.
Laut 23pds verwendet die Variante Techniken wie Dateiaufblähung, Netzwerkverbindungsüberprüfung und Selbstzerstörungsskripte nach der Ausführung, um Erkennung zu vermeiden. Berichten zufolge kann sie sensible Daten wie iCloud-Schlüsselbünde, Browser-Passwörter und Krypto-Wallets stehlen.
Die Warnung wurde einem Blog von Jamf Threat Labs beigefügt, der berichtete, dass dies nicht ihr erster Kontakt mit MacSync ist.
Die auf macOS abzielende Information-Stealer-Malware tauchte Berichten zufolge erstmals im April 2025 als „Mac.C“ auf, entwickelt von einem Bedrohungsakteur namens „Mentalpositive“. Sie wurde kurz darauf in MacSync umbenannt, was sie schnell unter Cyberkriminellen populär machte.
Um sich davor zu schützen, laden Sie nur Apps aus dem Mac App Store oder von vertrauenswürdigen Entwickler-Websites herunter, halten Sie Ihr macOS und Ihre Apps auf dem neuesten Stand, verwenden Sie renommierte Antiviren-/Endpoint-Sicherheitstools, die macOS-Bedrohungen erkennen, und seien Sie vorsichtig mit unerwarteten .dmg-Dateien oder Installern, insbesondere solchen, die kryptobezogene oder Messaging-Tools versprechen.
Gibt es eine neue MacSync-Malware?
Die fragliche Probe sah Berichten zufolge den vergangenen Varianten des zunehmend aktiven MacSync Stealer-Malware sehr ähnlich, wurde aber in ihrem Design überarbeitet. Sie unterschied sich von früheren MacSync Stealer-Varianten, die hauptsächlich auf Drag-to-Terminal- oder ClickFix-ähnliche Techniken setzten, da sie einen täuschenderen, hands-off-Ansatz verwendet.
Die Probe wird Berichten zufolge geliefert als eine code-signierte und notariell beglaubigte Swift-Anwendung in einem Disk-Image namens zk-call-messenger-installer-3.9.2-lts.dmg verteilt, über https://zkcall.net/download.
Das entfernt die Notwendigkeit einer direkten Terminal-Interaktion. Stattdessen ruft der Dropper ein codiertes Skript von einem Remote-Server ab und führt es über eine Swift-basierte Helper-Executable aus
Jamf Threat Labs beobachtete auch, dass der Odyssey-Infostealer in jüngeren Varianten ähnliche Vertriebsmethoden annahm. Sie äußerten Überraschung darüber, dass die vertraute Rechtsklick-Öffnen-Anweisung in der neuen Probe noch vorhanden ist, obwohl die Executable signiert ist und diesen Schritt nicht erfordert.
„Nach Inspektion des Mach-O-Binärdateis, das ein universeller Build ist, bestätigten wir, dass es sowohl code-signiert als auch notariell beglaubigt ist. Die Signatur ist mit der Developer Team ID GNJLS3UYZ4 verbunden“, behaupteten sie.
Sie stellten sicher, die Code-Verzeichnis-Hashes gegen Apples Sperrliste zu überprüfen, und sagten zum Zeitpunkt der Analyse, dass keiner widerrufen worden war.
Eine weitere bemerkenswerte Beobachtung war die ungewöhnlich große Größe des Disk-Images (25,5 MB), was sie als durch in den App-Bundle eingebettete Köder-Dateien aufgebläht beschrieben.
Zum Zeitpunkt der Analyse wurden einige der auf VirusTotal hochgeladenen Proben nur von einer Antiviren-Engine erkannt, während andere von bis zu dreizehn markiert wurden. Nachdem Jamf Threat Labs bestätigt hatte, dass die Developer Team ID zur Verteilung bösartiger Payloads verwendet wurde, meldete sie dies Apple. Seitdem wurde das zugehörige Zertifikat widerrufen.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
