نسخه جدیدی از بدافزار جاسوسی (Info-stealer) با نام MacSync که سیستم‌های macOS را هدف قرار می‌دهد، اکنون از رویدادهای تقویم عمومی iCloud برای تحویل محموله‌های (Payloads) جدید استفاده می‌کند.
ریشه‌ها و روش‌های توزیع
بدافزار MacSync که بر پایه زبان Swift توسعه یافته و اولین بار در آپریل ۲۰۲۵ مشاهده شد، اخیراً از طریق کمپین‌های ClickFix و در قالب ابزارهای جعلی مانند Homebrew و تحلیل‌گرهای فضای دیسک macOS توزیع شده است. محققان Kaspersky گزارش داده‌اند که نسخه‌های اولیه این بدافزار از خانواده AMOS مشتق شده بودند، اما در نسخه‌های جدیدتر، قابلیت‌های گسترده‌تری از طریق ماژول‌های مجزا اضافه شده است.
عوامل تهدید (Threat Actors) برای جذب قربانیان از روش‌های مهندسی اجتماعی، نرم‌افزارهای کرک شده و اپلیکیشن‌های رایگان استفاده کرده‌اند. یکی از این موارد، توزیع یک کیف پول دیجیتال جعلی به نام Toria بود که دارای وب‌سایت اختصاصی بوده و در شبکه‌های اجتماعی تبلیغ می‌شد.
مکانیسم پیچیده تحویل محموله
در یکی از روش‌های پیچیده توزیع، یک Downloader دستورات مخفی شده در توضیحات (Description) یک رویداد تقویم عمومی iCloud را دریافت کرده و سپس محموله مرحله بعد را از iCloud دانلود می‌کند. این Downloader داده‌های استخراج شده از تقویم را به پوسته zsh در macOS ارسال می‌کند. در حالی که بخش زیادی از متن تقویم باعث ایجاد خطا می‌شود، دستوراتی که پس از خط DESCRIPTION قرار دارند، اجرا شده و آرشیوی حاوی اجزای بدافزار را فراخوانی می‌کنند.
این آرشیو شامل یک باندل APP است که به عنوان Dropper عمل کرده و در نهایت منجر به نصب کامل بدافزار MacSync می‌شود.
قابلیت‌های جاسوسی و دسترسی غیرمجاز
ماژول Info-stealer در این بدافزار تغییری نکرده و همچنان موارد زیر را هدف قرار می‌دهد:
- تاریخچه مرورگر، کوکی‌ها و اعتبارنامه‌های ذخیره شده (Credentials)
- داده‌های اپلیکیشن‌ها و افزونه‌های کیف پول دیجیتال
- داده‌های تلگرام و فایل Keychain
- اطلاعات سیستم و دستگاه
- فایل‌های پیکربندی SSH، AWS، Kubernetes، Git و Shell
ماژول جدید Backdoor
یک ماژول جدید مبتنی بر Objective-C مشاهده شده است که خود را به عنوان Finder (مدیریت فایل پیش‌فرض macOS) معرفی می‌کند. این Backdoor برای ایجاد تداوم (Persistence) از LaunchAgent، تغییرات در فایل .zshrc و Git hooks جهانی استفاده می‌کند. همچنین برای جلوگیری از اطلاع کاربر، فرآیندهای اعلان (Notification) سیستم‌عامل macOS را متوقف می‌کند.
محققان همچنین دستوری مرموز به نام live_browser را شناسایی کردند که مؤلفه‌ای به نام sn_relay را دانلود و اجرا می‌کند، هرچند هدف دقیق این مؤلفه هنوز مشخص نشده است.
