MacSync: il malware che sfrutta iCloud per rubare dati su macOS

Un nuovo malware per macOS, noto come MacSync, ha attirato l’attenzione degli esperti di sicurezza informatica per il suo metodo innovativo di diffusione. Questo infostealer sfrutta gli inviti del calendario iCloud e risorse di cloud storage per scaricare e installare componenti dannosi sui dispositivi degli utenti.

Il vettore d’infezione di MacSync è un loader che viene pubblicizzato su social media e siti fraudolenti, oltre a sfruttare tecniche di SEO poisoning. Si spaccia per software “cracked” o wallet per criptovalute, inducendo le vittime a eseguire un comando nel Terminal per risolvere un finto errore, noto come ClickFix. Questo passaggio avvia il loader e consente l’installazione del malware.

Una volta attivato, il loader effettua una richiesta legittima al calendario iCloud e cerca un evento pubblico predisposto dagli aggressori. Nella descrizione di questo evento, sono fornite istruzioni e l’indicazione della posizione del payload, che è spesso ospitato anch’esso su iCloud. Questo metodo consente al caricatore di scaricare e installare l’infostealer senza generare traffico sospetto evidente.

MacSync è emerso nel panorama della sicurezza informatica ad aprile 2025 e deriva da un malware precedente chiamato AMOS. Scritto in Swift, MacSync si è evoluto con nuove capacità di esfiltrazione, in grado di raccogliere informazioni sensibili come cronologia e cookie dei browser, credenziali salvate, dati di wallet e app per criptovalute, informazioni di Telegram e elementi del Portachiavi (Keychain). Inoltre, è in grado di raccogliere informazioni di sistema e dispositivo, file di configurazione SSH, AWS, Kubernetes, Git e shell.

Le varianti più recenti di MacSync integrano un backdoor in Objective-C che finge di essere il Finder, stabilisce persistenza, termina processi di notifica per prevenire avvisi e fornisce accesso remoto al controllo. Questo include l’esecuzione di AppleScript ricevuti dal server di comando e controllo, l’installazione di estensioni browser e la sostituzione dell’app Ledger, oltre alla raccolta di ulteriori informazioni di sistema.

Recentemente, è stato rilevato un comando non definito chiamato live_browser, che scarica ed esegue un componente denominato sn_relay, la cui funzione rimane ancora poco chiara. I ricercatori hanno notato un significativo rinnovo tecnico nelle versioni recenti rispetto a quelle precedenti, suggerendo un’evoluzione continua del malware.

Il profilo delle applicazioni impersonate e il tipo di dati ricercati indicano un targeting mirato verso sviluppatori, appassionati di criptovalute e utenti del settore IT. La compromissione dei dispositivi di sviluppatori comporta rischi estesi per gli utenti finali e i sistemi aziendali, potenzialmente favorendo intrusioni più ampie. Per questo motivo, gli esperti raccomandano estrema cautela nel download di programmi da fonti non ufficiali e un atteggiamento scettico verso applicazioni che richiedono la password di amministratore.