新しいMacSync変種がmacOSセキュリティを回避し、ユーザー資産がすでに盗難被害

Jamf Threat Labsは、自社開発のYARAルールの検出をレビューしている際、過去の典型的な実行チェーンに従わない、署名済みかつ証明された（notarized）スティールウェアを観察したと主張しています。 

によると 23pds Slowmistによると、このスティールウェアはmacOSセキュリティを回避することで有名なMacSync変種の新しいバリエーションです。 

Slowmist、ユーザー情報がすでに盗まれたと主張 

X（旧Twitter）での投稿で、Slowmistの最高情報セキュリティ責任者である23pds氏は、macOSのゲートキーパーセキュリティシステムを回避するMacSyncの新しい変種が存在し、すでに多くのユーザーの情報をハイジャックしていると主張しました。 

23pds氏によると、検出を回避するため、この変種はファイルの膨張、ネットワーク接続の確認、実行後の自己破壊スクリプトなどの技術を採用しています。iCloudキーチェーン、ブラウザのパスワード、暗号通貨ウォレットなどの機密データを盗むことができる reportedly です。 

この警告は、Jamf Threat Labsによるブログ記事に添えられていました。同ラボは、これがMacSyncとの初めての接触ではないと報告しています。 

macOSを対象とした情報スティールウェアマルウェアは、2025年4月に「Mentalpositive」として知られる脅威アクターによって開発された「Mac.C」として最初に出現した reportedly です。 shortly 後にMacSyncに名称変更され、サイバー犯罪者の間で急速に広まりました。

これからの保護のため、Mac App Storeまたは信頼できる開発者ウェブサイトからのみアプリをダウンロードし、macOSとアプリを更新し続け、macOSの脅威を検出する評判の良いアンチウイルス/エンドポイントセキュリティツールを使用し、特に暗号通貨関連やメッセージングツールを約束する予期しない.dmgファイルやインストーラには注意してください。

新しいMacSyncマルウェアはありますか？ 

問題のサンプルは、ますます活発になっているMacSync Stealerマルウェアの過去のバリエーションと非常に似ていた reportedly ですが、デザインが刷新されていました。主にドラッグアンドドロップやClickFixスタイルの技術に依存していた以前のMacSync Stealerバリエーションとは異なり、より欺瞞的で手をかけないアプローチを採用しています。 

このサンプルは reportedly 供給量から恒久的に除去する zk-call-messenger-installer-3.9.2-lts.dmgという名前のディスクイメージ内に、コード署名され証明されたSwiftアプリケーションとして存在し、https://zkcall.net/downloadを通じて配布されています。 

これにより、ターミナルとの直接的な対話が必要なくなります。代わりに、ドロッパーはリモートサーバーからエンコードされたスクリプトを取得し、Swiftで構築されたヘルパー実行可能ファイルを通じてそれを実行します。

Jamf Threat Labsは、最近のバリエーションでOdysseyインフォスティールウェアが同様の配布方法を採用していることも観察しました。彼らは、実行可能ファイルが署名されておりこの手順を必要としないにもかかわらず、新しいサンプルに馴染みのある右クリックして開くという指示がまだ残っていることに驚きを表明しました。

「Mach-Oバイナリ（ユニバーサルビルド）を調査した結果、それがコード署名され、証明されていることを確認しました。署名は開発者チームID GNJLS3UYZ4に関連付けられています」と彼らは主張しました。 

彼らは、コードディレクトリのハッシュをAppleの失効リストに対して検証し、分析時点では失効されていないと述べました。

もう一つの注目すべき観察点は、ディスクイメージの異常に大きなサイズ（25.5MB）です。彼らは、これはアプリバンドル内に埋め込まれたデコイファイルによって膨張しているように見えると述べました。 

分析時点では、VirusTotalにアップロードされたサンプルの一部は1つのアンチウイルスエンジンによってのみ検出され、他のものは最大13個のエンジンによってフラグが立てられていました。開発者チームIDが悪意のあるペイロードの配布に使用されていることを確認した後、Jamf Threat LabsはAppleに報告しました。それ以来、関連する証明書は失効されました。