In Breve

Cos'è MacSync?

MacSync è un infostealer per macOS che sfrutta inviti del calendario iCloud per installarsi e rubare dati.

Come si diffonde MacSync?

Si diffonde tramite un loader pubblicizzato su social media e siti fraudolenti, inducendo le vittime a eseguire comandi nel Terminal.

Quali dati può rubare MacSync?

Può rubare credenziali, cronologia dei browser, dati di wallet e informazioni di sistema.

MacSync: il malware per macOS che sfrutta iCloud per rubare dati

Un nuovo infostealer per macOS, noto come MacSync, ha attirato l’attenzione degli esperti di sicurezza informatica per il suo uso innovativo di inviti del calendario iCloud e risorse di cloud storage. Questa minaccia, emersa ad aprile 2025, si è evoluta rapidamente, sfruttando tecniche sofisticate per installarsi silenziosamente sui dispositivi delle vittime.

Come funziona MacSync

Il vettore d’infezione di MacSync si basa su un loader, pubblicizzato su social media e siti fraudolenti, che si spaccia per software “cracked” o wallet per criptovalute. Le vittime, indotte a eseguire un comando nel Terminal per risolvere un finto errore (denominato ClickFix), avviano involontariamente il loader, che a sua volta installa il malware.

Il loader effettua una richiesta legittima al calendario iCloud, cercando un evento pubblico predisposto dagli aggressori. Nella descrizione di questo evento sono incluse istruzioni e l’indicazione della posizione del payload, spesso ospitato su iCloud. Questo metodo consente al caricatore di scaricare e installare l’infostealer senza generare traffico sospetto evidente, rendendo difficile la rilevazione da parte degli utenti e dei software di sicurezza.

Capacità di esfiltrazione di MacSync

MacSync, scritto in Swift e derivato da un malware precedente noto come AMOS, ha dimostrato di avere capacità di esfiltrazione sempre più sofisticate. Tra i dati che può rubare ci sono:

• cronologia e cookie dei browser
• credenziali salvate
• dati di wallet e app per criptovalute
• dati di Telegram
• elementi del Portachiavi (Keychain)
• informazioni di sistema e dispositivo
• file di configurazione per SSH, AWS, Kubernetes, Git e shell

Le varianti più recenti di MacSync integrano anche un backdoor in Objective-C che si maschera da Finder, stabilendo persistenza nel sistema e terminando processi di notifica per prevenire avvisi. Questo backdoor fornisce accesso remoto al controllo, consentendo l’esecuzione di AppleScript ricevuti dal server di comando e controllo e l’installazione di estensioni browser malevole.

Rischi e raccomandazioni

Il profilo delle applicazioni impersonate e il tipo di dati ricercati suggeriscono un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori può comportare rischi estesi per gli utenti finali e i sistemi aziendali, potenzialmente favorendo intrusioni più ampie.

Per proteggersi da questa minaccia, è fondamentale esercitare cautela nel download di programmi da fonti non ufficiali e mantenere un atteggiamento scettico verso applicazioni che richiedono la password di amministratore. Gli esperti raccomandano di utilizzare software di sicurezza aggiornati e di monitorare attentamente le attività sospette sui propri dispositivi.

Conclusione

MacSync rappresenta una nuova frontiera nel panorama delle minacce informatiche per macOS, sfruttando tecniche innovative per eludere i controlli di sicurezza. È essenziale che gli utenti rimangano informati e adottino misure preventive per proteggere i propri dati sensibili.