In Breve
- Cos'è MacSync?
- MacSync è un infostealer per macOS che sfrutta inviti del calendario iCloud per installare malware sui dispositivi.
- Come si diffonde MacSync?
- Il malware si diffonde tramite un loader pubblicizzato su social media e siti fraudolenti, inducendo le vittime a eseguire comandi nel Terminal.
- Quali dati può rubare MacSync?
- MacSync può rubare cronologia browser, credenziali, dati di wallet e informazioni di sistema.
Un nuovo malware per macOS, noto come MacSync, ha attirato l’attenzione per la sua capacità di sfruttare inviti del calendario iCloud e risorse di cloud storage al fine di scaricare e installare componenti dannosi sui dispositivi degli utenti. Questo infostealer, emerso ad aprile 2025, rappresenta una minaccia significativa per gli utenti di macOS, in particolare per sviluppatori e appassionati di criptovalute.
Il meccanismo di infezione di MacSync è particolarmente insidioso. Gli aggressori pubblicizzano un loader attraverso social media, siti fraudolenti e tecniche di SEO poisoning, spacciandosi per software “cracked” o wallet di criptovalute. Le vittime, indotte a eseguire un comando nel Terminal per risolvere un finto errore denominato ClickFix, attivano involontariamente il loader che installa il malware.
Una volta attivato, il loader effettua una richiesta legittima al calendario iCloud, cercando un evento pubblico predisposto dagli aggressori. Nella descrizione di questo evento, sono incluse istruzioni e il link al payload, spesso ospitato su iCloud stesso. Questo metodo consente al caricatore di scaricare e installare l’infostealer senza generare traffico sospetto, rendendo difficile la sua individuazione.
MacSync è scritto in Swift e si è evoluto da una precedente variante chiamata AMOS, incorporando nuove funzionalità di esfiltrazione. Tra i dati che il malware è in grado di raccogliere vi sono la cronologia e i cookie dei browser, le credenziali salvate, i dati di wallet e app per criptovalute, informazioni da Telegram, elementi del Portachiavi (Keychain), oltre a file di configurazione per SSH, AWS, Kubernetes, Git e shell. Le varianti più recenti del malware includono un backdoor in Objective-C che si presenta come il Finder, stabilendo persistenza e terminando processi di notifica per prevenire avvisi.
In aggiunta, è stato rilevato un comando non definito chiamato live_browser che scarica ed esegue un componente noto come sn_relay, la cui funzione rimane ancora poco chiara. I ricercatori hanno osservato un significativo rinnovamento tecnico nelle versioni recenti rispetto alle precedenti, suggerendo un’evoluzione continua del malware.
Il profilo delle applicazioni impersonate e il tipo di dati ricercati da MacSync indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e professionisti del settore IT. La compromissione dei dispositivi di sviluppatori non solo mette a rischio i loro dati, ma può anche avere ripercussioni estese su utenti finali e sistemi aziendali, favorendo intrusioni più ampie e complesse.
Per proteggersi da questa minaccia, si raccomanda di esercitare estrema cautela nel download di programmi da terze parti e di mantenere uno scetticismo verso applicazioni che richiedono la password di amministratore. La sicurezza informatica è una priorità, e la consapevolezza delle minacce è il primo passo per difendersi.
