Οι ερευνητές της Kaspersky εντόπισαν μια εξελιγμένη και ανανεωμένη έκδοση του infostealer για macOS, με την ονομασία MacSync. Το συγκεκριμένο κακόβουλο λογισμικό εμφανίστηκε για πρώτη φορά την περίοδο 2024–2025 ως παραλλαγή του stealer AMOS, όμως έκτοτε έχει υποστεί σημαντικές αλλαγές. Η τελευταία έκδοση, που εντοπίστηκε τον Σεπτέμβριο του 2026, χρησιμοποιεί μια νέα, σύνθετη αλυσίδα επίθεσης και εγκαθιστά στη συσκευή του θύματος δύο βασικά στοιχεία: ένα infostealer και ένα backdoor. Με αυτόν τον τρόπο, θέτει σε κίνδυνο διαπιστευτήρια, προσωπικά δεδομένα και περιουσιακά στοιχεία σε κρυπτονομίσματα.
Η επίθεση ξεκινά όταν ένα κακόβουλο αρχείο καταλήξει στη συσκευή του χρήστη. Αυτό μπορεί να συμβεί, για παράδειγμα, όταν ο χρήστης κατεβάσει εν αγνοία του ένα αρχείο που εμφανίζεται ως κάποια εφαρμογή, όπως ένα εργαλείο κοινής χρήσης εγγράφων, ένα crypto wallet ή κάποια άλλη χρήσιμη εφαρμογή. Η ενέργεια αυτή ενεργοποιεί μια σειρά από επιπλέον κακόβουλες λήψεις και ενέργειες στη συσκευή. Σε ορισμένες περιπτώσεις, μία από τις λήψεις που πραγματοποιούνται στο πλαίσιο της αλυσίδας επίθεσης φιλοξενείται σε δημόσια καταχώριση ημερολογίου iCloud σε μορφή .ics. Μετά την παραβίαση της συσκευής, εγκαθίστανται τα βασικά στοιχεία του MacSync, δηλαδή ένα infostealer και ένα backdoor.
Κατά την εκκίνησή του, το infostealer εμφανίζεται ως η εφαρμογή που ο χρήστης πιστεύει ότι έχει κατεβάσει. Στη συνέχεια, του ζητά να εισαγάγει τον κωδικό πρόσβασης του λογαριασμού διαχειριστή. Αφού εισαχθεί ο κωδικός, εμφανίζεται μια ειδοποίηση που αναφέρει ότι η εφαρμογή «έχει υποστεί ζημιά» και προτείνει τη μετακίνησή της στον κάδο απορριμμάτων. Πρόκειται για μια τεχνική που έχει σχεδιαστεί για να αποπροσανατολίσει τον χρήστη και να αποκρύψει την κακόβουλη δραστηριότητα. Το infostealer συλλέγει δεδομένα από φυλλομετρητές, όπως ιστορικό περιήγησης, cookies και αποθηκευμένα διαπιστευτήρια, καθώς και δεδομένα από εφαρμογές crypto wallets και το Telegram. Επιπλέον, συλλέγει τα στοιχεία σύνδεσης και τον κωδικό πρόσβασης της συσκευής, το αρχείο Keychain, τη λίστα με τις εγκατεστημένες εφαρμογές, το μοντέλο της συσκευής και πληροφορίες σχετικά με το hardware της. Στο στόχαστρο βρίσκονται επίσης αρχεία ρυθμίσεων SSH και ZSH, καθώς και άλλα σημαντικά δεδομένα.
Ένας ακόμη μηχανισμός του MacSync, το backdoor, εμφανίζεται ως η νόμιμη εφαρμογή Finder και παρέχει στους επιτιθέμενους πρόσβαση στα δεδομένα της συσκευής. Συγκεκριμένα, μέσω του backdoor, μπορούν να εγκαθιστούν απομακρυσμένα τροποποιημένα add-ons στο πρόγραμμα περιήγησης του χρήστη, πιθανότατα με στόχο την αντικατάσταση των επεκτάσεων crypto wallets με κακόβουλες. Παράλληλα, το backdoor τους δίνει τη δυνατότητα να αντικαθιστούν τη νόμιμη εφαρμογή crypto wallet της Ledger με ένα κακόβουλο αντίγραφό της, να συλλέγουν πληροφορίες για το σύστημα ή άλλα αρχεία του χρήστη και, ενδεχομένως, να εκτελούν κώδικα της επιλογής τους για άλλους σκοπούς.
«Η νέα έκδοση του infostealer MacSync που εντοπίσαμε διαφέρει σημαντικά από τις προηγούμενες εκδόσεις, καθώς περιλαμβάνει νέες δυνατότητες και καθιστά πιο σύνθετη την αλυσίδα επίθεσης. Οι κυβερνοεγκληματίες αναπτύσσουν επίσης ενεργά τεχνικές κοινωνικής μηχανικής που λειτουργούν ως αρχικό σημείο πρόσβασης στη συσκευή του θύματος. Για τον λόγο αυτό, είναι σημαντικό να είμαστε ιδιαίτερα προσεκτικοί όταν εγκαθιστούμε νέες εφαρμογές, ειδικά όταν ο κατασκευαστής της εφαρμογής δεν είναι αξιόπιστος. Συνιστούμε να ελέγχετε πάντα αν η εφαρμογή που κατεβάζετε ή εγκαθιστάτε προέρχεται από τον πραγματικό δημιουργό, επαληθεύοντας τη γνησιότητά της μέσω αξιόπιστων πηγών. Ο κωδικός πρόσβασης διαχειριστή είναι το κλειδί για την προστασία των πιο ευαίσθητων δεδομένων και διαπιστευτηρίων στη συσκευή και οι χρήστες θα πρέπει να είναι ιδιαίτερα προσεκτικοί όταν οι εφαρμογές τούς ζητούν να τον εισαγάγουν», σχολιάζει ο Sergey Puzan, ειδικός σε θέματα ασφάλειας στην Kaspersky.
Οι λύσεις ασφαλείας της Kaspersky εντοπίζουν και εξουδετερώνουν με επιτυχία τις απειλές που συνδέονται με την οικογένεια κακόβουλου λογισμικού MacSync. Περισσότερες πληροφορίες σχετικά με την ανανεωμένη έκδοση του κακόβουλου λογισμικού MacSync θα είναι διαθέσιμες στο Securelist της Kaspersky τις επόμενες ημέρες.
