MacSync крадёт данные через календарь iCloud

Исследователи Kaspersky обнаружили продолжающуюся кампанию против пользователей Mac, в которой вредоносная программа MacSync использует календарь iCloud и облачное хранилище для доставки шпионского компонента. Вредонос маскируется под криптовалютные кошельки и «взломанные» коммерческие приложения. Эксперты советуют особенно осторожно скачивать программы со сторонних сайтов и не доверять приложениям, требующим пароль администратора без понятной причины.

Заразить устройство несложно только в теории. На практике преступникам нужно убедить человека скачать и запустить программу, а затем обойти антивирус. Кроме того, злоумышленники хотят менять вредоносные компоненты, не повторяя весь процесс заражения. Поэтому они применяют загрузчики — небольшие программы, которые сначала попадают на компьютер, а затем устанавливают основной вредонос.

Такая схема создаёт для преступников другую проблему: защитные системы могут заметить сетевое соединение загрузчика с сервером управления. MacSync обходит этот контроль с помощью календаря iCloud. После запуска загрузчик обращается к календарю — обычному и обычно безопасному действию — и ищет заранее созданное публичное событие. В описании события находятся инструкции и адрес компонента-шпиона. Сам файл также размещается в iCloud, после чего загрузчик устанавливает его на Mac.

Загрузчик распространяют через социальные сети, поисковую оптимизацию с подменой результатов и фишинг. Пользователей направляют на мошеннические сайты или каналы, где обещают бесплатные версии платных программ и «кряки». В одном из случаев вредонос рекламировали как криптовалютный кошелёк. Человеку показывали типичное окно ClickFix — поддельную ошибку — и предлагали исправить её, вставив команду в Terminal. Команда запускала загрузчик, а тот устанавливал MacSync.

MacSync появился в апреле 2025 года и первоначально был связан с AMOS — одним из наиболее распространённых похитителей информации для macOS. Вредонос написан на Swift и постепенно получил новые функции. По данным Kaspersky, он может красть историю браузера, файлы cookie, сохранённые пароли, данные криптокошельков и приложений, информацию Telegram, данные системного хранилища Keychain, а также сведения о компьютере и операционной системе.

Кроме того, MacSync способен похищать файлы конфигурации SSH, AWS, Kubernetes, Git и shell. Это особенно опасно для разработчиков: такие файлы могут содержать ключи доступа, настройки инфраструктуры и другие данные, позволяющие продолжить атаку уже за пределами личного Mac.

Новые версии получили бэкдор на Objective-C, который маскируется под стандартный файловый менеджер macOS Finder. Он закрепляется в системе, завершает процессы уведомлений, чтобы жертва не видела предупреждений, и даёт злоумышленникам удалённый доступ. Через него можно выполнять AppleScript, полученный с сервера управления, устанавливать расширения браузера, подменять легитимное приложение кошелька Ledger, собирать дополнительные сведения о системе и выполнять другие команды.

Kaspersky также обнаружила неопределённую команду «live_browser». Она скачивает и запускает компонент «sn_relay», назначение которого пока не установлено. Исследователи отмечают, что новые версии MacSync значительно отличаются от прежних: авторы вредоноса существенно переработали подход и расширили возможности.

По характеру собираемых данных и выбору приложений для маскировки MacSync прежде всего нацелен на разработчиков, пользователей криптовалют и людей, связанных с IT. Заражение компьютеров разработчиков создаёт дополнительные риски: украденные ключи и конфигурации могут использоваться для атак на корпоративные системы и конечных пользователей. Поэтому запуск команд из случайных инструкций, установка «кряков» и передача приложениям пароля администратора превращаются в довольно дорогую лотерею — обычно проигрывает тот, кто нажал первым.