Специалисты «Лаборатории Касперского» обнаружили новую модификацию стилера MacSync, ориентированного на операционные системы macOS. Этот вредонос впервые появился в период с 2024 по 2025 год как производная от стилера AMOS, однако впоследствии претерпел существенные изменения. Обнаруженная в сентябре 2026 года версия использует более сложный многоступенчатый процесс заражения. В результате на устройство устанавливаются стилер, предназначенный для извлечения паролей, криптовалютных активов и конфиденциальных данных пользователей, а также бэкдор, предоставляющий злоумышленникам возможность удалённого управления заражённым компьютером.
Первоначальный вредоносный файл может проникнуть на устройство через загрузку поддельного приложения, которое пользователь намеревался установить – например, сервиса для совместной работы над документами или криптовалютного кошелька. Этот файл инициирует последовательность последующих загрузок и манипуляций. В отдельных случаях один из компонентов размещался в общедоступной записи календаря iCloud в формате *.ics. После заражения на устройство устанавливаются ключевые элементы MacSync: стилер и бэкдор.
После установки стилер, выдавая себя за легитимное приложение, запрашивает пароль администратора. В случае его ввода появляется фиктивное уведомление о повреждении приложения с предложением переместить его в корзину. Обычно macOS отображает подобное сообщение при попытке запуска реально повреждённого приложения, однако в данном случае уведомление генерируется вредоносным ПО и фактически не приводит к удалению файла. Стилер остаётся на устройстве и собирает историю просмотров браузера, cookie-файлы, сохранённые логины и пароли, данные криптокошельков, мессенджера Telegram, список установленных программ, сведения о модели устройства и его аппаратной конфигурации, настройки SSH, ZSH и другую информацию.
Другой компонент MacSync – бэкдор – маскируется под стандартный файловый менеджер macOS Finder. Одной из его функций является возможность удалённой установки любого расширения в браузере на заражённом устройстве, что чаще всего используется для кражи криптовалюты. Кроме того, злоумышленники могут заменить легитимное приложение криптокошелька Ledger на поддельное, собирать системную информацию или отдельные файлы пользователя и выполнять произвольный код.
«Новая итерация вредоносного ПО MacSync претерпела существенные изменения, характеризующиеся более сложной последовательностью заражения и добавлением новых возможностей. Преступники постоянно совершенствуют техники социальной инженерии для получения первоначального доступа к системе пользователя, поэтому крайне важно сохранять осторожность при установке программного обеспечения, особенно если разработчик вызывает сомнения. Мы советуем всегда удостоверяться в подлинности загружаемого приложения и принадлежности его заявленному создателю, а также проверять репутацию источника получения. Пароль администратора является одним из важнейших компонентов защиты конфиденциальной информации и учетных записей на устройстве, поэтому следует проявлять повышенную внимательность при запросах приложений к нему», — отметил Сергей Пузан, специалист «Лаборатории Касперского» в области кибербезопасности.
