- MacSync 窃贼已从 ClickFix 变体转变为更复杂的代码签名恶意软件，能够绕过传统的 macOS 安全措施。
- 该恶意软件静默下载并执行有效载荷，对 macOS 用户构成重大威胁。
- 用于分发恶意负载的开发人员团队 ID 已向 Apple 报告。
在审查其内部YARA规则的检测结果时，Jamf Threat Labs声称观察到一个已签名并公证的窃取程序，它没有遵循过去常见的执行链。
根据 23pds 来自Slowmist，该窃取程序是著名的绕过macOS安全的MacSync变体的新变种。
Slowmist声称用户信息已被盗
Slowmist的首席信息安全官23pds在X（原Twitter）上发帖称，存在一种新的MacSync变体，它绕过了macOS Gatekeeper安全系统，并且已经劫持了许多用户的信息。
根据23pds的说法，为了逃避检测，该变体采用了文件膨胀、网络连接验证和执行后自毁脚本等技术。据报道，它可以窃取敏感数据，如iCloud钥匙串、浏览器密码和加密货币钱包。
这一警告附在Jamf Threat Labs的一篇博客文章后，该文章报告称，这并非他们首次接触MacSync。
据报道，这种针对macOS的信息窃取恶意软件于2025年4月首次出现，名为“Mac.C”，由名为“Mentalpositive”的黑客组织开发。不久后更名为MacSync，并迅速在犯罪分子中流行起来。
为了保护自己免受其害，请仅从Mac App Store或受信任的开发者网站下载应用程序，保持macOS和应用程序更新，使用能检测macOS威胁的知名防病毒/端点安全工具，并对意外的.dmg文件或安装程序保持警惕，尤其是那些承诺提供加密货币相关或消息传递工具的程序。
有新的MacSync恶意软件吗？
据报道，样本与日益活跃的MacSync Stealer恶意软件过去的变体非常相似，但其设计经过翻新。它与主要依赖拖放到终端或ClickFix风格技术的早期MacSync Stealer变体不同，它采用了一种更具欺骗性、无需动手的方法。
据报道，该样本 通过销毁指令 是一个代码签名并公证的Swift应用程序，位于名为zk-call-messenger-installer-3.9.2-lts.dmg的磁盘中，通过https://zkcall.net/download分发。
这消除了对任何直接终端交互的需求。相反，投放器从远程服务器检索编码脚本，并通过Swift构建的辅助可执行文件执行它
Jamf Threat Labs还观察到Odyssey信息窃取者在最近的变体中采用了类似的传播方法。他们对新样本中仍然存在的熟悉右键打开说明表示惊讶，尽管可执行文件已签名且不需要此步骤。
“在检查Mach-O二进制文件（通用构建）后，我们确认它既已代码签名又已公证。签名与开发者团队ID GNJLS3UYZ4相关联，”他们声称。
他们确保将代码目录哈希与Apple的吊销列表进行验证，并表示在分析时，没有任何哈希被吊销。
另一个值得注意的观察是磁盘映像的不寻常大尺寸（25.5MB），他们表示这似乎是由嵌入在应用程序包中的诱饵文件膨胀所致。
分析时，部分上传至VirusTotal的样本仅被一款杀毒引擎检测到，而其他样本则被多达十三个引擎标记。在确认开发者团队ID被用于分发恶意负载后，Jamf Threat Labs向苹果公司进行了报告。此后，相关证书已被吊销。
最聪明的加密领域人士已经在阅读我们的通讯。想加入吗？加入他们。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Hannah Collymore
汉娜是一位作家兼编辑，在加密货币领域拥有近十年的博客写作和活动报道经验。在Cryptopolitan，汉娜负责新闻板块，报道和分析DeFi、RWA、加密货币监管、AI和前沿科技行业的最新发展。她毕业于阿卡迪亚大学，获得工商管理学位。
