MacSync: il malware per Mac che sfrutta iCloud per rubare dati sensibili
In Breve
- Cos'è MacSync?
- MacSync è un infostealer per macOS che utilizza inviti del calendario iCloud per installarsi sui dispositivi.
- Come si diffonde MacSync?
- Si diffonde tramite loader pubblicizzati su social media e siti fraudolenti, mascherandosi come software 'cracked'.
- Quali dati può rubare MacSync?
- Può rubare cronologia browser, credenziali, dati di wallet e informazioni di sistema.
Un nuovo malware per macOS, denominato MacSync, sta attirando l’attenzione degli esperti di sicurezza informatica per la sua sofisticata modalità di attacco. Sfruttando gli inviti del calendario iCloud e risorse di cloud storage, MacSync riesce a scaricare e installare componenti dannosi sui dispositivi degli utenti. Questo infostealer è emerso ad aprile 2025 e si è evoluto da un precedente malware noto come AMOS.
Il vettore d’infezione di MacSync è particolarmente insidioso. Gli aggressori pubblicizzano un loader su social media e siti fraudolenti, spesso mascherandolo come software “cracked” o wallet per criptovalute. Le vittime vengono indotte a eseguire un comando nel Terminal per risolvere un finto errore, noto come ClickFix, che avvia il loader e installa il malware.
Una volta attivato, il loader effettua una richiesta legittima al calendario iCloud, cercando eventi pubblici predisposti dagli aggressori. Nella descrizione di questi eventi, gli utenti possono trovare istruzioni e link al payload, che è spesso ospitato su iCloud stesso. Questo metodo consente al malware di scaricare e installare l’infostealer senza generare traffico sospetto evidente.
MacSync è scritto in Swift e ha mostrato un’evoluzione significativa rispetto alle sue versioni precedenti, ampliando le sue capacità di esfiltrazione. Tra i dati che può rubare ci sono la cronologia e i cookie dei browser, le credenziali salvate, i dati di wallet e app per criptovalute, informazioni da Telegram, elementi del Portachiavi (Keychain), e file di configurazione di sistemi come SSH, AWS, Kubernetes e Git.
Le varianti più recenti di MacSync includono un backdoor in Objective-C che si camuffa da Finder, stabilendo persistenza e terminando processi di notifica per prevenire avvisi. Questa backdoor consente anche l’accesso remoto al controllo del dispositivo, permettendo l’esecuzione di AppleScript ricevuti da un server di comando e controllo, l’installazione di estensioni browser e la sostituzione dell’app Ledger.
Recentemente, è stato rilevato un comando non definito chiamato live_browser, che scarica ed esegue un componente noto come sn_relay, la cui funzione rimane ancora poco chiara. Gli esperti di sicurezza segnalano un significativo rinnovamento tecnico nelle versioni più recenti di MacSync, suggerendo un aumento della sofisticazione degli attacchi.
Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori rappresenta un rischio esteso per gli utenti finali e i sistemi aziendali, favorendo potenzialmente intrusioni più ampie.
Per proteggersi da questo tipo di attacco, si raccomanda di prestare estrema cautela nel download di programmi da terze parti e di mantenere un atteggiamento scettico verso le applicazioni che richiedono la password di amministratore.
