MacSync: новая версия стилера для macOS крадёт пароли и данные криптокошельков
«Лаборатория Касперского» выявила обновлённый вариант стилера MacSync, нацеленного на устройства под управлением macOS. Вредоносное ПО появилось в 2024–2025 годах как ответвление стилера AMOS, однако с тех пор значительно изменилось. Обнаруженная в сентябре 2026 года версия использует более сложную многоэтапную цепочку заражения. В результате на устройство устанавливаются стилер, предназначенный для кражи паролей, криптовалюты и конфиденциальных данных пользователей, и бэкдор, предоставляющий злоумышленникам удалённый доступ к заражённому устройству. Об этом SecPost сообщили в компании.
Исходный вредоносный файл может попасть на устройство при загрузке зловреда, замаскированного под приложение, которое пользователь хотел скачать, — например, сервис для совместной работы над документами или криптовалютный кошелёк. Этот файл запускает цепочку последующих загрузок и манипуляций на устройстве. В некоторых случаях один из компонентов размещался в общедоступной записи календаря iCloud в формате *.ics.
После установки стилер, маскируясь под приложение, которое хотел скачать пользователь, запрашивает пароль администратора. Если его ввести, появляется фейковое уведомление о том, что приложение повреждено, с предложением переместить его в корзину. Обычно macOS действительно отображает такое уведомление при попытке запустить реально повреждённое приложение, однако в этом случае уведомление сгенерировано вредоносным ПО и фактически в корзину ничего не переносится. Стилер остаётся на устройстве и собирает историю просмотров в браузере, cookie-файлы, сохранённые логины и пароли, данные приложений криптокошельков, мессенджера Telegram. Также он собирает список установленных приложений, информацию о модели устройства и его аппаратном обеспечении, настройки SSH, ZSH и другую информацию.
Второй компонент MacSync — бэкдор — маскируется под легитимный Finder, стандартный файловый менеджер macOS. Одной из его функций является возможность удалённо установить в браузере на заражённом устройстве любое расширение, наиболее вероятная цель которого — кража криптовалюты. Помимо этого, злоумышленники могут заменить легитимное приложение криптокошелька Ledger на вредоносное, собирать системную информацию или отдельные файлы пользователя и выполнять произвольный код.
В компании отметили, что решения «Лаборатории Касперского» успешно детектируют и блокируют угрозы семейства MacSync.
Читайте также
