Les actifs des utilisateurs déjà volés alors qu'une nouvelle variante de MacSync contourne la sécurité de macOS
- Le MacSync Stealer est passé d'une variante ClickFix à un logiciel malveillant plus sophistiqué, signé numériquement et capable de contourner les mesures de sécurité traditionnelles de macOS.
- Le logiciel malveillant télécharge et exécute silencieusement des charges utiles, représentant une menace importante pour les utilisateurs de macOS.
- L'ID de développeur utilisé pour distribuer les charges utiles malveillantes a été signalé à Apple.
Tout en examinant les détections de ses règles YARA internes, Jamf Threat Labs affirme avoir observé un voleur signé et notarié qui ne suivait pas les chaînes d'exécution typiques vues par le passé.
Selon 23pds de Slowmist, ce voleur est une nouvelle variante de la variante MacSync célèbre pour contourner la sécurité de macOS.
Slowmist affirme que les informations des utilisateurs sont déjà volées
Dans un post sur X, le Directeur de la Sécurité de l'Information de Slowmist, 23pds, a affirmé qu'il existe une nouvelle variante de MacSync qui contourne le système de sécurité du gardien de macOS, et qu'elle a déjà détourné les informations de nombreux utilisateurs.
Selon 23pds, pour échapper à la détection, la variante emploie des techniques telles que l'inflation de fichiers, la vérification de la connexion réseau et des scripts d'auto-destruction après l'exécution. Il peut reportedly voler des données sensibles comme les trousseaux iCloud, les mots de passe du navigateur et les portefeuilles crypto.
L'avertissement était joint à un blog de Jamf Threat Labs, rapportant que ce n'est pas son premier contact avec MacSync.
Le malware voleur d'informations ciblant macOS est apparu pour la première fois en avril 2025 sous le nom de « Mac.C », développé par un acteur de menace connu sous le nom de « Mentalpositive ». Il a été rebaptisé MacSync peu de temps après, ce qui lui a rapidement gagné en popularité parmi les cybercriminels.
Pour vous protéger contre cela, téléchargez uniquement des applications depuis le Mac App Store ou des sites web de développeurs de confiance, maintenez votre macOS et vos applications à jour, utilisez des outils antivirus/sécurité de point de terminaison réputés qui détectent les menaces macOS, et soyez prudent avec les fichiers .dmg inattendus ou les installateurs, en particulier ceux qui promettent des outils liés aux cryptomonnaies ou de messagerie.
Existe-t-il un nouveau malware MacSync ?
L'échantillon en question ressemblait fortement aux variantes passées du malware MacSync Stealer de plus en plus actif mais a été revu dans sa conception. Il différait des variantes précédentes de MacSync Stealer qui reposent principalement sur des techniques de glisser-déposer vers le terminal ou de style ClickFix, car il emploie une approche plus trompeuse et sans intervention manuelle.
L'échantillon est reportedly détruits comme une application Swift signée et notariée dans une image disque nommée zk-call-messenger-installer-3.9.2-lts.dmg, distribuée via https://zkcall.net/download.
Cela supprime le besoin d'interaction directe avec le terminal. Au lieu de cela, le dropper récupère un script encodé depuis un serveur distant et l'exécute via un exécutable helper construit avec Swift
Jamf Threat Labs a également observé que l'infostealer Odyssey adoptait des méthodes de distribution similaires dans les variantes récentes. Ils ont exprimé leur surprise que l'instruction familière d'ouverture par clic droit soit toujours présente dans le nouvel échantillon, même si l'exécutable est signé et ne nécessite pas cette étape.
« Après avoir inspecté le binaire Mach-O, qui est une build universelle, nous avons confirmé qu'il est à la fois signé et notarié. La signature est associée à l'ID d'équipe de développeur GNJLS3UYZ4 », ont-ils affirmé.
Ils se sont assurés de vérifier les hachés du répertoire de code contre la liste de révocation d'Apple, et au moment de l'analyse, ont déclaré qu'aucun n'avait été révoqué.
Une autre observation notable faite est la taille inhabituellement grande de l'image disque (25,5 Mo), ce qui semble être gonflé par des fichiers leurre intégrés dans le bundle de l'application.
Au moment de l'analyse, certains des échantillons téléchargés sur VirusTotal ont été détectés par un seul moteur antivirus, tandis que d'autres ont été signalés par jusqu'à treize. Après avoir confirmé que l'ID d'équipe de développeur était utilisé pour distribuer des charges malveillantes, Jamf Threat Labs l'a signalé à Apple. Depuis lors, le certificat associé a été révoqué.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
