گزارش‌های جدید Kaspersky نشان می‌دهد که گونه‌ای جدید از بدافزار MacSync کاربران سیستم‌عامل macOS را هدف قرار داده است. این بدافزار که در دسته‌بندی Infostealer قرار می‌گیرد، با ایجاد یک Backdoor پایدار، قصد سرقت اطلاعات حساس از جمله اعتبارنامه‌ها (Credentials)، داده‌های کیف پول‌های رمز ارزی و فایل‌های کاربر را دارد.
روش انتشار و زنجیره عفونت
این بدافزار از طریق یک اپلیکیشن جعلی کیف پول رمز ارزی به نام Toria که در پلتفرم‌های X و تلگرام تبلیغ می‌شد، منتشر شده است. تحلیلگران دریافته‌اند که مهاجمان رویکرد خود را تغییر داده و به جای استفاده از AppleScripts، اکنون از فایل‌های اجرایی کامل نوشته شده با زبان‌های Swift و Objective-C استفاده می‌کنند.
یکی از نکات قابل توجه در این حمله، استفاده از زیرساخت‌های اپل برای توزیع Payload است. در برخی نمونه‌ها، لینک دانلودر بدافزار به یک تقویم عمومی iCloud اشاره می‌کند. این دانلودر، محتویات فایل تقویم را خط به خط به Shell ارسال کرده و دستورات مخرب را که پس از عبارت “DESCRIPTION:” قرار دارند، اجرا می‌کند تا آرشیو حاوی اپلیکیشن مخرب را از iCloud دریافت نماید.
تکنیک‌های پیشرفته برای دور زدن امنیت
- استفاده از PAM API: برخلاف اکثر بدافزارهای مک که از ابزار dscl برای تایید رمز عبور استفاده می‌کنند، MacSync از Pluggable Authentication Modules (PAM) API بهره می‌برد که تکنیکی نسبتاً جدید در بدافزارهای macOS است.
- پنهان‌سازی و تداوم: Backdoor این بدافزار خود را به عنوان Finder معرفی کرده و از طریق LaunchAgent و تغییر در فایل .zshrc و Git hooks، تداوم حضور خود را در سیستم تضمین می‌کند.
- غیرفعال‌سازی اعلان‌ها: برای جلوگیری از شناسایی توسط کاربر، بدافزار فرآیندهایی مانند BTMNotificationAgent و NotificationCenter را متوقف می‌کند تا اعلان‌های مربوط به اجرای LaunchAgent جدید نمایش داده نشود.
داده‌های هدف و قربانیان
این بدافزار طیف گسترده‌ای از اطلاعات را جمع‌آوری می‌کند، از جمله:
- تاریخچه مرورگر، کوکی‌ها و پسوردهای ذخیره شده.
- داده‌های Keychain و اطلاعات سیستم.
- فایل‌های پیکربندی SSH, AWS, Kubernetes و Git.
- تاریخچه دستورات Bash و zsh.
با توجه به نوع داده‌های هدف‌گذاری شده، به نظر می‌رسد توسعه‌دهندگان نرم‌افزار (Developers)، علاقه‌مندان به ارزهای دیجیتال و متخصصان IT هدف اصلی این حملات باشند. نفوذ به سیستم‌های توسعه‌دهندگان می‌تواند ریسک‌های امنیتی گسترده‌تری را برای سازمان‌ها و کاربران نهایی ایجاد کند.
