Attività utente già rubate mentre una nuova variante di MacSync aggira la sicurezza di macOS
- Il MacSync Stealer è passato da una variante ClickFix a un malware più sofisticato, firmato digitalmente e capace di bypassare le tradizionali misure di sicurezza di macOS.
- Il malware scarica ed esegue silenziosamente payload, rappresentando una minaccia significativa per gli utenti di macOS.
- L'ID team dello sviluppatore utilizzato per distribuire i payload malevoli è stato segnalato ad Apple.
Mentre rivedeva i rilevamenti delle sue regole YARA interne, Jamf Threat Labs afferma di aver osservato un ladro firmato e notarile che non seguiva le catene di esecuzione tipiche viste in passato.
Secondo 23pds da Slowmist, questo ladro è una nuova variante della variante MacSync famosa per aggirare la sicurezza di macOS.
Slowmist afferma che le informazioni utente sono già state rubate
In un post su X, il Chief Information Security Officer di Slowmist, 23pds, ha affermato che c'è una nuova variante di MacSync che aggira il sistema di sicurezza del gatekeeper di macOS e ha già dirottato le informazioni di molti utenti.
Secondo 23pds, per eludere il rilevamento, la variante impiega tecniche come l'espansione dei file, la verifica della connessione di rete e script di autodistruzione dopo l'esecuzione. Si dice che possa rubare dati sensibili come le chiavette iCloud, le password del browser e i portafogli crittografici.
L'avviso è arrivato allegato a un blog di Jamf Threat Labs, che riportava che questo non è il suo primo contatto con MacSync.
Il malware ladro di informazioni mirato a macOS è emerso per la prima volta ad aprile 2025 come "Mac.C", sviluppato da un attore di minaccia noto come "Mentalpositive". È stato ribattezzato MacSync poco dopo, guadagnando rapidamente trazione tra i criminali informatici.
Per proteggerti da esso, scarica solo app dal Mac App Store o da siti web di sviluppatori fidati, mantieni aggiornato il tuo macOS e le app, utilizza strumenti antivirus/di sicurezza degli endpoint reputati che rilevano le minacce macOS e fai attenzione ai file .dmg o ai installer inaspettati, specialmente quelli che promettono strumenti correlati alle criptovalute o di messaggistica.
C'è un nuovo malware MacSync?
Il campione in questione sembrava altamente simile alle varianti passate del malware MacSync Stealer sempre più attivo ma era stato rinnovato nel suo design. Si differenziava dalle varianti precedenti di MacSync Stealer che si affidavano principalmente a tecniche di trascinamento nel terminale o allo stile ClickFix, poiché impiegava un approccio più ingannevole e senza intervento manuale.
Il campione è presumibilmente consegnati come un'applicazione Swift firmata e notarile all'interno di un'immagine disco denominata zk-call-messenger-installer-3.9.2-lts.dmg, distribuita tramite https://zkcall.net/download.
Questo elimina la necessità di qualsiasi interazione diretta con il terminale. Invece, il dropper recupera uno script codificato da un server remoto ed lo esegue tramite un eseguibile helper costruito in Swift
Jamf Threat Labs ha anche osservato che l'infostealer Odyssey ha adottato metodi di distribuzione simili nelle varianti recenti. Hanno espresso sorpresa che la familiare istruzione di apertura con il tasto destro del mouse sia ancora presente nel nuovo campione, anche se l'eseguibile è firmato e non richiede questo passaggio.
"Dopo aver ispezionato il binario Mach-O, che è una build universale, abbiamo confermato che è sia firmato che notarile. La firma è associata all'ID del Team di Sviluppo GNJLS3UYZ4", hanno affermato.
Hanno assicurato di verificare gli hash delle directory del codice contro l'elenco di revoca di Apple e, al momento dell'analisi, hanno detto che nessuno era stato revocato.
Un'altra osservazione notevole fatta è la dimensione insolitamente grande dell'immagine disco (25,5 MB), che hanno detto sembra essere gonfiata da file di disturbo incorporati nel bundle dell'app.
Al momento dell'analisi, alcuni dei campioni caricati su VirusTotal sono stati rilevati da un solo motore antivirus, mentre altri sono stati segnalati fino a tredici. Dopo aver confermato che l'ID del Team di Sviluppo era stato utilizzato per distribuire payload dannosi, Jamf Threat Labs lo ha segnalato ad Apple. Da allora, il certificato associato è stato revocato.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
