MacSync: il malware per Mac che sfrutta iCloud per rubare dati

Un nuovo malware per macOS, noto come MacSync, ha attirato l’attenzione degli esperti di sicurezza informatica per il suo metodo innovativo di diffusione. Questo infostealer utilizza inviti del calendario iCloud e risorse di cloud storage per scaricare e installare componenti dannosi sui dispositivi degli utenti.

Il meccanismo d’infezione di MacSync è particolarmente insidioso: il malware si presenta come un loader, pubblicizzato su social media e siti fraudolenti, spesso mascherato da software “cracked” o portafogli per criptovalute. Le vittime, indotte a eseguire un comando nel Terminal per risolvere un finto errore denominato ClickFix, attivano involontariamente il loader, che avvia il processo di installazione del malware.

Una volta attivato, il loader effettua una richiesta legittima al calendario iCloud, cercando un evento pubblico creato dagli aggressori. Nella descrizione dell’evento, sono incluse istruzioni e l’indicazione della posizione del payload, che è spesso ospitato su iCloud. Questo approccio consente al loader di scaricare e installare l’infostealer senza generare traffico sospetto, rendendo difficile la rilevazione da parte degli utenti e dei sistemi di sicurezza.

Caratteristiche e capacità di MacSync

MacSync è emerso nel panorama della sicurezza informatica ad aprile 2025 ed è derivato dal malware AMOS. Scritto in Swift, ha mostrato un’evoluzione significativa, acquisendo nuove capacità di esfiltrazione. Tra i dati che può rubare ci sono la cronologia e i cookie dei browser, le credenziali salvate, i dati di wallet e app per criptovalute, informazioni da Telegram, elementi del Portachiavi (Keychain), oltre a file di configurazione SSH, AWS, Kubernetes, Git e shell.

Le varianti più recenti di MacSync includono un backdoor scritto in Objective-C che si maschera da Finder, garantendo persistenza sul dispositivo infetto. Questa backdoor è in grado di terminare i processi di notifica per evitare avvisi, fornendo accesso remoto al controllo del dispositivo. Gli aggressori possono eseguire AppleScript ricevuti dal server di comando e controllo, installare estensioni del browser, sostituire l’app Ledger e raccogliere ulteriori informazioni di sistema.

Recentemente, è stato identificato un comando non definito chiamato live_browser, che scarica ed esegue un componente noto come sn_relay, la cui funzione rimane ancora poco chiara. I ricercatori hanno notato un significativo rinnovamento tecnico nelle versioni più recenti rispetto alle precedenti, suggerendo un continuo sviluppo da parte degli aggressori.

Targeting e raccomandazioni di sicurezza

Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori rappresenta un rischio significativo, non solo per gli utenti finali, ma anche per i sistemi aziendali, poiché potrebbe facilitare intrusioni più ampie.

Per proteggersi da minacce come MacSync, è fondamentale esercitare cautela nel download di programmi da fonti non ufficiali e mantenere un atteggiamento scettico verso le applicazioni che richiedono la password di amministratore. Gli utenti sono invitati a rimanere vigili e a monitorare le attività sui propri dispositivi per rilevare eventuali anomalie.