새로운 MacSync 변종이 macOS 보안을 우회하여 사용자 자산이 이미 탈취됨

Jamf Threat Labs는 자체 YARA 규칙의 감지를 검토하는 동안, 과거에 보았던 전형적인 실행 체인을 따르지 않는 서명 및 인증된 스틸러를 관찰했다고 주장합니다. 

에 따르면 23pds Slowmist의 이 스틸러는 macOS 보안을 우회하는 것으로 유명한 MacSync 변종의 새로운 변종입니다. 

Slowmist, 사용자 정보 이미 탈취 주장 

X 게시에서 Slowmist의 최고 정보 보안 책임자 23pds는 macOS 게이트키퍼 보안 시스템을 우회하는 MacSync의 새로운 변종이 있으며, 이미 많은 사용자의 정보를 탈취했다고 주장했습니다. 

23pds에 따르면, 이 변종은 탐지를 피하기 위해 파일 팽창, 네트워크 연결 확인 및 실행 후 자기 파괴 스크립트와 같은 기술을 사용합니다. iCloud 키체인, 브라우저 비밀번호, 암호화폐 지갑과 같은 민감한 데이터를 훔칠 수 있는 것으로 보고됩니다. 

이 경고는 Jamf Threat Labs의 블로그와 함께 발표되었으며, 이는 MacSync와의 첫 번째 접촉이 아니라고 보고했습니다. 

macOS를 표적으로 하는 정보 탈취 멀웨어는 2025년 4월 'Mentalpositive'라는 위협 행위자가 개발한 'Mac.C'로 처음 등장한 것으로 보고됩니다. 곧 MacSync로 이름이 변경되었으며, 이는 사이버 범죄자들 사이에서 빠르게 입지를 다졌습니다.

이것으로부터 자신을 보호하려면 Mac App Store나 신뢰할 수 있는 개발자 웹사이트에서만 앱을 다운로드하고, macOS 및 앱을 최신 상태로 유지하며, macOS 위협을 감지할 수 있는 평판이 좋은 안티바이러스/엔드포인트 보안 도구를 사용하고, 특히 암호화폐 관련 또는 메시징 도구를 약속하는 예기치 않은 .dmg 파일이나 설치 프로그램을 다룰 때 주의하십시오.

새로운 MacSync 멀웨어가 있나요? 

문제의 샘플은 점점 더 활동적이 되고 있는 MacSync Stealer 멀웨어의 과거 변종들과 매우 유사해 보였지만 디자인이 개선되었습니다. 주로 터미널로 드래그하거나 ClickFix 스타일 기술을 주로 사용했던 이전 MacSync Stealer 변종들과 달리, 더 기만적이고 손을 대지 않는 접근 방식을 사용합니다. 

이 샘플은 보고됩니다 전달 zk-call-messenger-installer-3.9.2-lts.dmg라는 이름의 디스크 이미지 내에 코드 서명 및 노테라이즈된 Swift 애플리케이션으로, https://zkcall.net/download를 통해 배포됩니다. 

이로 인해 터미널과의 직접적인 상호작용이 필요하지 않습니다. 대신 드로퍼는 원격 서버에서 인코딩된 스크립트를 검색하여 Swift로 빌드된 헬퍼 실행 파일을 통해 실행합니다.

Jamf Threat Labs는 최근 변종에서 Odyssey 정보 탈취기가 유사한 배포 방법을 채택하는 것도 관찰했습니다. 그들은 실행 파일이 서명되어 있고 이 단계를 필요로 하지 않음에도 불구하고 새로운 샘플에 익숙한 오른쪽 클릭 열기 지침이 여전히 존재하는 것에 놀랐다고 밝혔습니다.

“우리는 범용 빌드인 Mach-O 바이너리를 검사한 후, 그것이 코드 서명과 노테라이즈를 모두 가지고 있음을 확인했습니다. 서명은 Developer Team ID GNJLS3UYZ4와 관련이 있습니다,”라고 그들은 주장했습니다. 

그들은 Apple의 취소 목록에 대한 코드 디렉토리 해시를 확인했으며, 분석 당시에는 아무것도 취소되지 않았다고 말했습니다.

또 다른 주목할 만한 관찰은 디스크 이미지의 비정상적으로 큰 크기(25.5MB)로, 이는 앱 번들 내에 내장된 속임수 파일들로 인해 팽창된 것으로 보입니다. 

분석 당시, VirusTotal에 업로드된 일부 샘플은 하나의 안티바이러스 엔진에 의해서만 감지된 반면, 다른 샘플은 최대 13개에 의해 플래그가 지정되었습니다. 악성 페이로드 배포에 Developer Team ID가 사용되었음을 확인한 후, Jamf Threat Labs는 이를 Apple에 보고했습니다. 이후 관련 인증서는 취소되었습니다.