MacSync: il malware per Mac che sfrutta iCloud per rubare dati

Un nuovo malware per macOS, denominato MacSync, ha attirato l’attenzione degli esperti di sicurezza informatica per il suo metodo innovativo di distribuzione. Utilizzando inviti del calendario iCloud e risorse di cloud storage, MacSync riesce a scaricare e installare componenti dannosi sui dispositivi degli utenti.

Il vettore d’infezione di MacSync è un loader pubblicizzato su social media e siti fraudolenti, spesso attraverso tecniche di SEO poisoning. Questo loader si spaccia per software “cracked” o wallet per criptovalute, inducendo le vittime a eseguire un comando nel Terminal per risolvere un finto errore noto come ClickFix. Questo comando avvia il loader, che a sua volta installa il malware.

Una volta attivato, il loader effettua una richiesta legittima al calendario iCloud, cercando un evento pubblico predisposto dagli aggressori. Nella descrizione di questo evento, sono contenute istruzioni e l’indicazione della posizione del payload, spesso ospitato su iCloud stesso. Questo metodo consente al caricatore di scaricare e installare l’infostealer senza generare traffico sospetto, rendendo difficile la rilevazione.

MacSync è emerso nel panorama della sicurezza informatica ad aprile 2025 e deriva dal malware AMOS. Scritto in Swift, ha mostrato un’evoluzione significativa, acquisendo nuove capacità di esfiltrazione. Tra i dati che può rubare ci sono la cronologia e i cookie dei browser, le credenziali salvate, i dati dei wallet e delle app per criptovalute, i dati di Telegram, elementi del Portachiavi (Keychain), informazioni di sistema e dispositivo, e file di configurazione SSH, AWS, Kubernetes, Git e shell.

Le varianti più recenti di MacSync integrano un backdoor in Objective-C, che si presenta come il Finder. Questo backdoor stabilisce persistenza sul dispositivo, termina processi di notifica per prevenire avvisi e fornisce accesso remoto al controllo. Ciò include l’esecuzione di AppleScript ricevuti dal server di comando e controllo, l’installazione di estensioni per browser, la sostituzione dell’app Ledger e la raccolta di ulteriori informazioni di sistema.

Un elemento inquietante di questo malware è un comando non definito chiamato “live_browser”, che scarica ed esegue un componente noto come “sn_relay”, la cui funzione rimane ancora poco chiara. I ricercatori hanno notato un significativo rinnovamento tecnico nelle versioni recenti di MacSync, suggerendo un’evoluzione continua delle sue capacità.

Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori può comportare rischi estesi per gli utenti finali e i sistemi aziendali, favorendo potenzialmente intrusioni più ampie. Pertanto, si raccomanda di prestare estrema cautela nel download di programmi da terze parti e di essere scettici nei confronti delle applicazioni che richiedono la password di amministratore.