خانواده بدافزارهای MacSync که در ابتدا با نام Mac.c در دارک‌وب معرفی شده بودند، اکنون به یک ابزار پیچیده برای سرقت اطلاعات (Infostealer) و دسترسی غیرمجاز (Backdoor) تبدیل شده‌اند. تحلیل‌های جدید نشان می‌دهد که توسعه‌دهندگان این بدافزار، رویکرد خود را از اسکریپت‌های ساده AppleScript به فایل‌های باینری پیشرفته تغییر داده‌اند تا شناسایی آن‌ها دشوارتر شود.
زنجیره عفونت و متدهای توزیع
این بدافزار تحت مدل Malware-as-a-Service (MaaS) توزیع می‌شود. در نسخه‌های جدید، مهاجمان از تصاویر DMG مخرب استفاده می‌کنند که خود را در قالب نرم‌افزارهای کرک شده یا اپلیکیشن‌های جعلی (مانند کیف پول دیجیتال Toria) معرفی می‌کنند. یکی از نکات قابل توجه در زنجیره عفونت جدید، استفاده از زیرساخت iCloud برای تحویل مراحل بعدی Payload است؛ به گونه‌ای که دستورات مخرب در قالب یک تقویم عمومی (Public Calendar) قرار داده شده‌اند تا سیستم‌های امنیتی را دور بزنند.
تحلیل فنی Payload و مکانیزم‌های پایداری
بدافزار MacSync از چندین لایه Dropper و Loader استفاده می‌کند که ویژگی‌های زیر را داراست:
- استفاده از زبان‌های مدرن: Payloadهای اصلی اکنون با زبان‌های Swift و Objective-C نوشته شده‌اند.
- تکنیک‌های ضد-تحلیل: بدافزار با استفاده از
sysctlبررسی می‌کند که آیا در محیط ماشین مجازی (VM) اجرا می‌شود یا خیر و با تنظیم فلگPT_DENY_ATTACHاز اتصال Debuggerها جلوگیری می‌کند. - رمزنگاری پیشرفته: برای تحویل ماژول‌ها از پروتکل ECDH Curve25519 و رمزنگاری AES-GCM استفاده شده است.
- پایداری (Persistence): این بدافزار از طریق ایجاد LaunchAgentهای جعلی (مانند
com.apple.finder.agent) و تزریق دستورات در فایل.ZSHRCو هوک‌های GIT، حضور خود را در سیستم تثبیت می‌کند.
قابلیت‌های Infostealer و Backdoor
ماژول سرقت اطلاعات MacSync، داده‌های گسترده‌ای از جمله تاریخچه مرورگر، کوکی‌ها، اطلاعات کیف پول‌های کریپتو، داده‌های تلگرام و فایل‌های Keychain را جمع‌آوری می‌کند. یک تکنیک نوظهور در این نسخه، استفاده از PAM API برای تایید رمز عبور مدیر (Administrator) است که جایگزین متد قدیمی dscl شده است.
در بخش Backdoor، مهاجمان قادرند دستورات AppleScript را از سرور C2 دریافت و اجرا کنند. برخی از دستورات شناسایی شده شامل deploy_ledger برای جایگزینی کیف پول Ledger با نسخه مخرب و live_browser برای اجرای احتمالی حملات Man-in-the-Middle (MitM) روی ترافیک مرورگر کاربر است.
هدف‌گذاری و ریسک‌ها
با توجه به نوع داده‌های هدف (مانند تنظیمات Kubernetes، AWS و SSH)، مشخص است که هدف اصلی این حملات توسعه‌دهندگان نرم‌افزار و علاقه‌مندان به ارزهای دیجیتال هستند. آلودگی دستگاه‌های توسعه‌دهندگان ریسک‌های استراتژیکی ایجاد می‌کند، زیرا می‌تواند منجر به نشت کلیدهای دسترسی به زیرساخت‌های سازمانی شود.
