Активы пользователей уже похищены: новый вариант MacSync обходит защиту macOS

При проверке срабатываний своих внутренних правил YARA, Jamf Threat Labs заявила, что обнаружила подписанный и нотариально заверенный стилизатор, который не следует типичным цепочкам выполнения, наблюдавшимся в прошлом. 

Согласно 23pds согласно данным Slowmist, этот стилизатор является новым вариантом MacSync, известным своим умением обходить защиту macOS. 

Slowmist утверждает, что информация пользователей уже украдена 

В посте в X главный информационный офицер безопасности Slowmist, 23pds, заявил, что существует новый вариант MacSync, обходящий систему безопасности Gatekeeper в macOS, и он уже захватил информацию многих пользователей. 

По словам 23pds, чтобы избежать обнаружения, вариант использует такие техники, как раздувание файлов, проверку сетевых соединений и скрипты самоуничтожения после выполнения. Сообщается, что он может красть конфиденциальные данные, такие как ключницы iCloud, пароли браузеров и криптокошельки. 

Предупреждение сопровождалось статьей из блога Jamf Threat Labs, в которой сообщалось, что это не их первый контакт с MacSync. 

Вредоносное ПО для кражи информации, нацеленное на macOS, впервые появилось в апреле 2025 года под названием «Mac.C», разработанное злоумышленником под псевдонимом «Mentalpositive». Вскоре после этого оно было переименовано в MacSync, что быстро сделало его популярным среди киберпреступников.

Чтобы защититься от него, загружайте приложения только из Mac App Store или с доверенных сайтов разработчиков, обновляйте macOS и приложения, используйте надежные антивирусные инструменты/средства защиты конечных точек, обнаруживающие угрозы macOS, и будьте осторожны с неожиданными файлами .dmg или установщиками, особенно теми, которые обещают крипто- или мессенджер-функции.

Существует ли новый вредоносный вариант MacSync? 

Исследуемый образец, по сообщениям, выглядел очень похожим на прошлые варианты все более активного вредоносного ПО MacSync Stealer, но был переработан в своем дизайне. Он отличался от более ранних вариантов MacSync Stealer, которые в основном полагались на техники перетаскивания в терминал или ClickFix, так как использует более обманный, пассивный подход. 

Сообщается, что образец был доставлен представляет собой подписанный кодом и нотариально заверенное приложение Swift внутри образа диска с именем zk-call-messenger-installer-3.9.2-lts.dmg, распространяемого через https://zkcall.net/download. 

Это устраняет необходимость в каком-либо прямом взаимодействии с терминалом. Вместо этого дроппер извлекает закодированный скрипт с удаленного сервера и выполняет его через вспомогательный исполняемый файл, созданный на Swift.

Jamf Threat Labs также наблюдала, как инфостилер Odyssey использует аналогичные методы распространения в недавних вариантах. Они выразили удивление тем, что в новом образце все еще присутствует знакомая инструкция «открыть правой кнопкой мыши», хотя исполняемый файл подписан и не требует этого шага.

«После проверки бинарного файла Mach-O, который является универсальной сборкой, мы подтвердили, что он подписан кодом и нотариально заверен. Подпись связана с идентификатором команды разработчика GNJLS3UYZ4», — заявили они. 

Они проверили хэши каталога кода против списка отзыва Apple и на момент анализа заявили, что ни один из них не был отозван.

Еще одним примечательным наблюдением стал необычно большой размер образа диска (25,5 МБ), который, по их словам, кажется раздутым из-за файлов-приманок, встроенных в пакет приложения. 

На момент анализа некоторые образцы, загруженные на VirusTotal, обнаруживались только одним антивирусным движком, в то время как другие помечались до тринадцати. После подтверждения того, что идентификатор команды разработчика использовался для распространения вредоносных загрузок, Jamf Threat Labs сообщила об этом в Apple. С тех пор связанный сертификат был отозван.