In Breve
- Cos'è MacSync?
- MacSync è un infostealer per macOS che utilizza inviti del calendario iCloud per installare malware.
- Come si diffonde MacSync?
- Si diffonde tramite un loader pubblicizzato su social media e siti fraudolenti, inducendo le vittime a eseguire comandi nel Terminal.
- Quali dati può rubare MacSync?
- Può rubare cronologia browser, credenziali, dati di wallet, informazioni di Telegram e altro.
MacSync: il malware per Mac che sfrutta iCloud per rubare dati
Un nuovo malware per macOS, denominato MacSync, sta attirando l’attenzione degli esperti di sicurezza informatica. Questo infostealer utilizza in modo innovativo gli inviti del calendario iCloud e le risorse di cloud storage per scaricare e installare componenti dannosi sui dispositivi degli utenti.
Il vettore di infezione di MacSync è particolarmente insidioso: il malware si presenta sotto forma di un loader, pubblicizzato su social media, siti fraudolenti e attraverso tecniche di SEO poisoning. Si spaccia per software “cracked” o wallet per criptovalute, inducendo le vittime a eseguire un comando nel Terminal per risolvere un finto errore, noto come ClickFix. Questo passaggio avvia il loader e consente l’installazione del malware.
Una volta attivato, il loader invia una richiesta legittima al calendario iCloud, cercando un evento pubblico predisposto dagli aggressori. Nella descrizione di questo evento sono fornite istruzioni e la posizione del payload, spesso ospitato su iCloud stesso. Questo metodo consente al caricatore di scaricare e dispiegare l’infostealer senza generare traffico sospetto evidente, rendendo difficile per gli utenti accorgersi dell’attacco.
MacSync è emerso nel panorama della sicurezza informatica ad aprile 2025 e deriva da una precedente minaccia nota come AMOS. Scritto in Swift, il malware ha subito evoluzioni significative, ampliando le sue capacità di esfiltrazione. Tra i dati che può raccogliere ci sono la cronologia e i cookie dei browser, le credenziali salvate, i dati di wallet e app per criptovalute, informazioni da Telegram, elementi del Portachiavi (Keychain), oltre a file di configurazione SSH, AWS, Kubernetes, Git e shell.
Le varianti più recenti di MacSync integrano un backdoor in Objective-C, che si maschera da Finder. Questa backdoor stabilisce persistenza sul sistema, termina i processi di notifica per prevenire avvisi e fornisce accesso remoto al controllo del dispositivo. Ciò include l’esecuzione di AppleScript ricevuti dal server di comando e controllo, l’installazione di estensioni browser, la sostituzione dell’app Ledger e la raccolta di ulteriori informazioni di sistema.
In aggiunta, è stato rilevato un comando non definito denominato live_browser, che scarica ed esegue un componente chiamato sn_relay; la funzione di questo componente rimane al momento sconosciuta. I ricercatori hanno notato un significativo rinnovamento tecnico nelle versioni recenti di MacSync rispetto alle precedenti.
Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e professionisti del settore IT. La compromissione dei dispositivi di sviluppatori comporta rischi estesi per gli utenti finali e i sistemi aziendali, potenzialmente favorendo intrusioni più ampie.
Per proteggersi da questa minaccia, si raccomanda estrema cautela nel download di programmi da terze parti e scetticismo verso applicazioni che richiedono la password di amministratore. Mantenere aggiornati i propri dispositivi e software è fondamentale per ridurre il rischio di infezioni da malware come MacSync.
