In Breve
- Cos'è MacSync?
- MacSync è un infostealer per macOS che sfrutta inviti del calendario iCloud per installarsi sui dispositivi.
- Come si diffonde MacSync?
- Si diffonde tramite un loader pubblicizzato su social media e siti fraudolenti, inducendo le vittime a eseguire comandi nel Terminal.
- Quali dati può rubare MacSync?
- Può rubare cronologia browser, credenziali salvate, dati di wallet, informazioni di Telegram e altro.
MacSync: il malware che sfrutta iCloud per rubare dati su macOS
Un nuovo malware per macOS, denominato MacSync, ha attirato l’attenzione degli esperti di sicurezza informatica per la sua capacità di sfruttare inviti del calendario iCloud e risorse di cloud storage per installare componenti dannosi sui dispositivi. Questo infostealer si è diffuso attraverso un loader pubblicizzato su social media, siti fraudolenti e tramite SEO poisoning, spacciandosi per software “cracked” o wallet per criptovalute.
Il vettore d’infezione e la tecnica di attacco
Le vittime di MacSync vengono indotte a eseguire un comando nel Terminal per risolvere un finto errore, noto come ClickFix, che avvia il loader e installa il malware. Questo loader effettua richieste legittime al calendario iCloud, cercando eventi pubblici predisposti dagli aggressori. Nella descrizione di tali eventi, sono incluse istruzioni e l’indicazione della posizione del payload, spesso anch’essa ospitata su iCloud. Questo approccio consente al caricatore di scaricare e dispiegare l’infostealer senza generare traffico sospetto evidente.
Caratteristiche e capacità di MacSync
MacSync è emerso ad aprile 2025 e deriva dal malware AMOS; è scritto in Swift e ha mostrato un’evoluzione nelle sue capacità di esfiltrazione. Tra i dati che può rubare ci sono la cronologia e i cookie dei browser, le credenziali salvate, i dati di wallet e app per criptovalute, informazioni da Telegram, elementi del Portachiavi (Keychain), oltre a file di configurazione SSH, AWS, Kubernetes, Git e shell.
Le varianti più recenti di MacSync integrano un backdoor in Objective-C che si finge il Finder, stabilendo persistenza e terminando processi di notifica per prevenire avvisi. Questo consente anche l’accesso remoto al controllo, inclusa l’esecuzione di AppleScript ricevuti dal server di comando e controllo, l’installazione di estensioni browser e la sostituzione dell’app Ledger, oltre alla raccolta di ulteriori informazioni di sistema.
Nuove scoperte e rischi associati
Recentemente, è stato rilevato un comando non definito denominato live_browser, che scarica ed esegue un componente chiamato sn_relay, la cui funzione rimane ancora poco chiara. I ricercatori hanno osservato un significativo rinnovo tecnico delle versioni recenti rispetto alle precedenti, suggerendo un continuo sviluppo da parte degli aggressori.
Targeting e raccomandazioni di sicurezza
Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori comporta rischi estesi per utenti finali e sistemi aziendali, potenzialmente favorendo intrusioni più ampie.
Si raccomanda estrema cautela nel download di programmi da terze parti e scetticismo verso applicazioni che richiedono la password di amministratore. Gli utenti dovrebbero adottare misure di sicurezza adeguate per proteggere i propri dispositivi e dati sensibili.
