MacSync: il malware per macOS che sfrutta iCloud per rubare dati
Scopri come il malware MacSync utilizza inviti del calendario iCloud per diffondersi e rubare informazioni sensibili dagli utenti macOS.
In Breve
- Cos'è MacSync?
- MacSync è un infostealer per macOS che utilizza inviti del calendario iCloud per diffondersi e rubare dati.
- Come si diffonde MacSync?
- Il malware si diffonde tramite un loader pubblicizzato su social media e siti fraudolenti, inducendo le vittime a eseguire comandi nel Terminal.
- Quali dati può rubare MacSync?
- MacSync può rubare cronologia dei browser, credenziali salvate, dati di wallet e informazioni di sistema.
Un nuovo malware per macOS: MacSync
Un infostealer per macOS, noto come MacSync, ha attirato l’attenzione degli esperti di sicurezza informatica per il suo metodo innovativo di diffusione. Utilizzando inviti del calendario iCloud e risorse di cloud storage, questo malware riesce a scaricare e installare componenti dannosi sui dispositivi degli utenti senza destare sospetti.
Il vettore d’infezione
Il malware si diffonde tramite un loader pubblicizzato su social media, siti fraudolenti e attraverso tecniche di SEO poisoning. Spacciandosi per software “cracked” o wallet per criptovalute, MacSync induce le vittime a eseguire un comando nel Terminal per risolvere un finto errore, noto come ClickFix. Questo comando avvia il loader e consente l’installazione del malware.
Meccanismo di attacco
Il loader effettua una richiesta legittima al calendario iCloud, cercando eventi pubblici predisposti dagli aggressori. Nella descrizione di questi eventi, sono fornite istruzioni e l’indirizzo del payload, spesso ospitato anch’esso su iCloud. Questo approccio consente al caricatore di scaricare e installare l’infostealer senza generare traffico sospetto.
Caratteristiche e funzionalità del malware
MacSync è emerso nel aprile 2025 ed è derivato da un altro malware noto come AMOS. Scritto in Swift, ha mostrato un’evoluzione significativa, acquisendo nuove capacità di esfiltrazione. Tra queste, la raccolta di cronologia e cookie dei browser, credenziali salvate, dati di wallet e applicazioni per criptovalute, nonché informazioni di Telegram e elementi del Portachiavi (Keychain).
Il malware raccoglie anche informazioni di sistema e dispositivo, file di configurazione SSH, AWS, Kubernetes, Git e shell. Varianti più recenti hanno integrato un backdoor in Objective-C che si maschera da Finder, stabilendo persistenza e terminando processi di notifica per evitare avvisi. Ciò consente un accesso remoto al controllo, inclusa l’esecuzione di AppleScript ricevuti da un server di comando e controllo.
Un nuovo comando misterioso
È stato rilevato un comando non definito chiamato live_browser, che scarica ed esegue un componente noto come sn_relay. La funzione di questo componente rimane ancora poco chiara, ma i ricercatori hanno osservato un significativo rinnovamento tecnico nelle versioni più recenti rispetto alle precedenti.
Target e raccomandazioni di sicurezza
Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori può comportare rischi estesi per gli utenti finali e i sistemi aziendali, potenzialmente facilitando intrusioni più ampie.
Si raccomanda quindi di prestare estrema cautela nel download di programmi da terze parti e di essere scettici nei confronti delle applicazioni che richiedono la password di amministratore.
