In questo articolo Indice dei contenuti 2 sezioni
Chi usa un Mac farebbe bene a tenere gli occhi aperti, perché MacSync è tornato in circolazione con un trucco tanto semplice quanto sfacciato: nascondere i comandi dentro la descrizione di eventi di calendari iCloud pubblici, per poi scaricare da lì i componenti veri e propri del malware. Un metodo che sfrutta un servizio legittimo, difficile da bloccare a priori, e che permette all’infostealer di aggiornare i propri payload senza dover appoggiarsi a server sospetti.
MacSync non è un nome nuovo. È scritto in Swift, è comparso per la prima volta ad aprile 2025 e nelle sue prime versioni derivava direttamente dalla famiglia di AMOS stealer, uno dei ceppi più prolifici su macOS. Da allora però ha cambiato pelle, aggiungendo funzioni tramite moduli separati invece di restare un blocco unico. Le analisi di Kaspersky descrivono un progetto che si evolve a strati, con componenti che vengono scaricati solo quando servono.
Come arriva sui computer delle vittime
La distribuzione passa quasi sempre dall’ingegneria sociale. Gli attacchi in stile ClickFix, quelli in cui all’utente viene chiesto di incollare un comando nel terminale per risolvere un presunto problema, sono il canale principale. In alcune campagne recenti il malware si è presentato mascherato da Homebrew o da un’applicazione per analizzare lo spazio libero sul disco. Altre volte viaggia dentro software spacciato per gratuito, craccato o appena uscito.
Un caso particolarmente curato riguarda un finto portafoglio crypto chiamato Toria, completo di sito dedicato e promozione sui social. Chi ci cascava si ritrovava sul Mac tutt’altro che un wallet. I ricercatori hanno individuato due catene di infezione distinte. Quella più elaborata parte da un downloader che va a leggere i comandi nascosti nella descrizione di un evento di calendario iCloud pubblico. Il testo recuperato viene passato alla shell zsh di macOS. La maggior parte di quelle righe produce semplicemente errori, ma i comandi piazzati subito dopo la riga DESCRIPTION vengono eseguiti e scaricano un archivio con i componenti del malware. Dentro c’è un bundle APP che funziona da dropper e apre la strada agli stadi successivi, fino ad arrivare a MacSync vero e proprio.
Il nuovo modulo backdoor travestito da Finder
La parte infostealer è rimasta più o meno quella di sempre e punta a cronologia del browser, cookie, credenziali salvate, dati delle estensioni e delle app per i portafogli crypto, dati di Telegram, file Keychain, informazioni su sistema e dispositivo, oltre a configurazioni di SSH, AWS, Kubernetes, Git e shell. Un rastrellamento completo, insomma. La novità sta altrove. È comparso un modulo backdoor scritto in Objective C che si camuffa da Finder, il gestore file predefinito di macOS. Il suo installer si assicura la persistenza in tre modi diversi, con un LaunchAgent, modifiche al file .zshrc e hook globali di Git. Nel frattempo termina i processi delle notifiche di macOS, così che nessun avviso raggiunga chi sta davanti allo schermo.
Una volta attiva, la backdoor può eseguire AppleScript forniti dal server di comando e controllo, installare un’estensione per il browser oppure sostituire un’app Ledger già presente con una versione manipolata, raccogliere ulteriori file e informazioni di sistema e caricarli verso il server C2, e infine verificare e ristabilire la persistenza per ripartire dopo ogni riavvio.
Gli scopi dei singoli comandi sono stati dedotti dai nomi e dai messaggi di stato, perché il codice AppleScript effettivo non era disponibile. Resta poi un comando dal significato oscuro, livebrowser, che scarica ed esegue un componente chiamato snrelay del quale non è stato possibile capire la funzione. Le raccomandazioni per gli utenti macOS sono elementari e proprio per questo vanno ripetute: non eseguire comandi trovati online, evitare il download di file DMG da siti poco chiari e diffidare delle richieste di password amministratore che compaiono all’improvviso.
Fonte: TecnoAndroid
