MacSync: il malware per Mac che sfrutta iCloud per rubare dati sensibili

Un nuovo malware per macOS, denominato MacSync, sta suscitando preoccupazioni tra gli utenti di dispositivi Apple. Questo infostealer utilizza inviti del calendario iCloud e risorse di cloud storage per scaricare e installare componenti dannosi sui dispositivi, mettendo a rischio dati sensibili.

Il meccanismo di infezione di MacSync è piuttosto ingegnoso. Gli aggressori pubblicizzano un loader su social media e siti fraudolenti, sfruttando tecniche di SEO poisoning per mascherare il malware come software “cracked” o wallet per criptovalute. Le vittime vengono indotte a eseguire un comando nel Terminal per risolvere un finto errore, noto come ClickFix, che avvia il loader e installa il malware sul dispositivo.

Una volta attivato, il loader effettua una richiesta legittima al calendario iCloud, cercando un evento pubblico predisposto dagli aggressori. Nella descrizione di questo evento, sono fornite istruzioni e l’indirizzo del payload, spesso ospitato anch’esso su iCloud. Questo metodo consente al caricatore di scaricare e dispiegare l’infostealer senza generare traffico sospetto evidente, rendendo difficile la rilevazione da parte degli utenti e dei software di sicurezza.

MacSync è emerso nel panorama della sicurezza informatica ad aprile 2025, derivando dal malware AMOS. Scritto in Swift, ha mostrato un’evoluzione significativa, ampliando le sue capacità di esfiltrazione. Tra i dati che riesce a raccogliere ci sono la cronologia e i cookie dei browser, le credenziali salvate, i dati di wallet e app per criptovalute, informazioni da Telegram, elementi del Portachiavi (Keychain), e file di configurazione per SSH, AWS, Kubernetes, Git e shell.

Le varianti più recenti di MacSync includono un backdoor scritto in Objective-C che si traveste da Finder, stabilendo persistenza sul sistema e terminando i processi di notifica per prevenire avvisi. Questo backdoor consente accesso remoto al controllo del dispositivo, inclusa l’esecuzione di AppleScript ricevuti da un server di comando e controllo, l’installazione di estensioni per browser e la sostituzione dell’app Ledger, oltre alla raccolta di ulteriori informazioni di sistema.

Un aspetto preoccupante è la presenza di un comando non definito denominato live_browser, che scarica ed esegue un componente chiamato sn_relay, la cui funzione rimane sconosciuta. I ricercatori hanno notato un significativo rinnovamento tecnico nelle versioni recenti di MacSync, suggerendo un continuo sviluppo da parte degli aggressori.

Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori comporta rischi estesi non solo per gli utenti finali, ma anche per i sistemi aziendali, potenzialmente favorendo intrusioni più ampie.

Per proteggersi da questa minaccia, si raccomanda di prestare estrema cautela nel download di programmi da terze parti e di essere scettici verso applicazioni che richiedono la password di amministratore. La consapevolezza e la prudenza sono essenziali per evitare di cadere vittima di questo sofisticato malware.