MacSync è un malware per macOS piuttosto recente. I ricercatori di Kaspersky hanno individuato una nuova versione che sfrutta un’altra modalità di distribuzione e include un modulo backdoor. Sono quindi aumentate le funzionalità del malware e le probabilità di successo per i cybercriminali. Nonostante la sua giovane età (le prime tracce risalgono ad aprile 2025) è stato già usato per numerosi attacchi.
Calendari iCloud pubblici e backdoor
MacSync è un infostealer scritto in linguaggio Swift. Viene principalmente distribuito tramite ingegneria sociale, attacchi ClickFix e versioni gratuite o craccate di applicazioni popolari. La catena di infezione della versione recente scoperta da Kaspersky inizia con l’immagine DMG di una falsa applicazione. Quando aperta viene decifrato il link a calendari iCloud pubblici.
Nella linea DESCRIPTION: dell’evento in calendario è presente lo script che scarica un dropper. Quest’ultimo scarica un secondo dropper che effettua il download di uno script. Vengono quindi scaricati il modulo infostealer originario e il nuovo modulo backdoor.
Il modulo infostealer conserva le vecchie funzionalità. Può rubare cronologia, cookie e credenziali dal browser, dati delle estensioni e dei wallet di criptovalute, dati di Telegram, file Keychain, informazioni su sistema e dispositivo, i file di configurazione di SSH, AWS, Kubernetes, Git e shell.
Il nuovo modulo backdoor viene mascherato come Finder (il file manager di macOS) e blocca le notifiche. Offre inoltre queste funzionalità: esegue script AppleScript ricevuti dal server di comando e controllo (C2C), installa un’estensione del browser o sostituisce l’app del wallet Ledger (se presente), raccoglie ulteriori informazioni di sistema e stabilisce la persistenza, in modo che il malware venga eseguito ad ogni riavvio del sistema.
MacSync viene attivamente supportato, quindi verranno aggiunte altre funzionalità in futuro. Gli utenti non devono scaricare immagini DMG da fonti sospette e devono prestare molta attenzione alle eventuali richieste di inserire la password di amministratore.
Ti potrebbe interessare
27 set 2026