In Breve

Cos'è MacSync?

MacSync è un infostealer per macOS che utilizza inviti del calendario iCloud per scaricare malware sui dispositivi.

Come si diffonde MacSync?

Si diffonde tramite loader pubblicizzati su social media e siti fraudolenti, mascherandosi da software legittimi.

Quali dati può rubare MacSync?

Può rubare cronologia browser, credenziali, dati di wallet e informazioni di sistema.

MacSync: il malware per macOS che sfrutta iCloud per rubare dati

Un nuovo malware per macOS, denominato MacSync, sta destando preoccupazione tra gli utenti di dispositivi Apple. Questo infostealer utilizza inviti del calendario iCloud e risorse di cloud storage per scaricare e installare componenti dannosi sui dispositivi, mettendo a rischio dati sensibili.

Come funziona MacSync

Il vettore d’infezione di MacSync si basa su un loader pubblicizzato attraverso social media e siti fraudolenti, spesso mascherato da software “cracked” o wallet per criptovalute. Le vittime vengono indotte a eseguire un comando nel Terminal per risolvere un finto errore, chiamato ClickFix, che avvia il loader e installa il malware.

Il loader effettua una richiesta legittima al calendario iCloud, cercando eventi pubblici predisposti dagli aggressori. Nella descrizione di questi eventi, sono incluse istruzioni e l’indicazione della posizione del payload, spesso anch’essa ospitata su iCloud. Questo metodo consente al caricatore di scaricare e dispiegare l’infostealer senza generare traffico sospetto evidente.

Le capacità di MacSync

Emergendo ad aprile 2025, MacSync è un’evoluzione del malware AMOS, scritto in Swift. Si è evoluto con nuove capacità di esfiltrazione, tra cui la raccolta della cronologia e dei cookie dei browser, credenziali salvate, dati di wallet e app per criptovalute, informazioni di Telegram, elementi del Portachiavi (Keychain), e file di configurazione per SSH, AWS, Kubernetes, Git e shell.

Le varianti più recenti di MacSync integrano un backdoor in Objective-C che si presenta come il Finder, stabilendo persistenza e terminando processi di notifica per prevenire avvisi. Inoltre, forniscono accesso remoto al controllo, consentendo l’esecuzione di AppleScript ricevuti dal server di comando e controllo, l’installazione di estensioni browser e la sostituzione dell’app Ledger, oltre alla raccolta di ulteriori informazioni di sistema.

Un nuovo comando misterioso

È stato rilevato anche un comando non definito, denominato “live_browser”, che scarica ed esegue un componente chiamato “sn_relay”, la cui funzione rimane ancora sconosciuta. I ricercatori notano un significativo rinnovo tecnico delle versioni recenti rispetto a quelle precedenti, suggerendo un’evoluzione continua del malware.

Targeting degli utenti

Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori comporta rischi estesi per gli utenti finali e i sistemi aziendali, potenzialmente favorendo intrusioni più ampie.

Raccomandazioni di sicurezza

Gli esperti raccomandano estrema cautela nel download di programmi da terze parti e scetticismo verso applicazioni che richiedono la password di amministratore. È fondamentale mantenere aggiornati i propri sistemi e utilizzare software di sicurezza affidabili per proteggere i propri dati.