Ativos do usuário já roubados enquanto nova variante do MacSync contorna a segurança do macOS
- O MacSync Stealer evoluiu de uma variante ClickFix para um malware mais sofisticado com assinatura digital, capaz de burlar as medidas tradicionais de segurança do macOS.
- O malware baixa e executa payloads silenciosamente, representando uma ameaça significativa aos usuários do macOS.
- A ID do Desenvolvedor utilizada para distribuir os payloads maliciosos foi reportada à Apple.
Ao revisar as detecções de suas regras YARA internas, a Jamf Threat Labs afirma ter observado um coletor de dados assinado e notariado que não seguiu as cadeias de execução típicas vistas no passado.
De acordo com 23pds da Slowmist, este coletor é uma nova variante da variante MacSync famosa por contornar a segurança do macOS.
Slowmist afirma que informações do usuário já foram roubadas
Em um post no X, o Chief Information Security Officer da Slowmist, 23pds, afirmou que há uma nova variante do MacSync que contorna o sistema de segurança do gatekeeper do macOS e que já sequestrou as informações de muitos usuários.
De acordo com 23pds, para evitar a detecção, a variante emprega técnicas como inflação de arquivos, verificação de conexão de rede e scripts de autodestruição após a execução. Relata-se que ele pode roubar dados sensíveis como keychains do iCloud, senhas do navegador e carteiras de criptomoedas.
O aviso veio junto com um blog da Jamf Threat Labs, relatando que este não é o primeiro contato deles com o MacSync.
O malware coletor de informações direcionado ao macOS surgiu pela primeira vez em abril de 2025 como “Mac.C”, desenvolvido por um ator de ameaças conhecido como “Mentalpositive”. Foi renomeado para MacSync pouco depois, o que lhe deu rápida tração entre cibercriminosos.
Para se proteger contra ele, baixe apenas aplicativos da Mac App Store ou de sites de desenvolvedores confiáveis, mantenha seu macOS e aplicativos atualizados, use ferramentas de antivírus/segurança de endpoint reputáveis que detectem ameaças do macOS e tenha cuidado com arquivos .dmg ou instaladores inesperados, especialmente aqueles que prometem ferramentas relacionadas a criptomoedas ou mensagens.
Existe um novo malware MacSync?
A amostra em questão parecia altamente semelhante a variantes anteriores do malware MacSync Stealer, cada vez mais ativo, mas foi reformulada em seu design. Diferia das variantes anteriores do MacSync Stealer que dependiam principalmente de técnicas de arrastar para o terminal ou estilo ClickFix, pois empregava uma abordagem mais enganosa e sem intervenção manual.
A amostra é relatada como entregues um aplicativo Swift assinado e notariado dentro de uma imagem de disco chamada zk-call-messenger-installer-3.9.2-lts.dmg, distribuída via https://zkcall.net/download.
Isso remove a necessidade de qualquer interação direta com o terminal. Em vez disso, o dropper recupera um script codificado de um servidor remoto e o executa por meio de um executável auxiliar construído em Swift
A Jamf Threat Labs também observou que o infostealer Odyssey adotou métodos de distribuição semelhantes em variantes recentes. Eles expressaram surpresa de que a instrução familiar de clicar com o botão direito para abrir ainda esteja presente na nova amostra, mesmo que o executável seja assinado e não requeira essa etapa.
“Após inspecionar o binário Mach-O, que é uma construção universal, confirmamos que ele é assinado e notariado. A assinatura está associada ao ID da Equipe de Desenvolvedor GNJLS3UYZ4”, afirmaram.
Eles se certificaram de verificar os hashes do diretório de código contra a lista de revogação da Apple e, no momento da análise, disseram que nenhum havia sido revogado.
Outra observação notável feita é o tamanho incomumente grande da imagem de disco (25,5 MB), que eles disseram parecer estar inflado por arquivos isca embutidos no pacote do aplicativo.
No momento da análise, algumas das amostras enviadas ao VirusTotal foram detectadas por apenas um mecanismo antivírus, enquanto outras foram sinalizadas por até treze. Após confirmar que o ID da Equipe de Desenvolvedor foi usado para distribuir payloads maliciosos, a Jamf Threat Labs relatou isso à Apple. Desde então, o certificado associado foi revogado.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
