С сентября 2026 года в сети распространяется сильно переработанная версия MacSync - вредоносной программы для macOS, которая крадёт пароли, данные браузеров и криптовалютных кошельков. Прежние сборки собирались из скриптов на языке AppleScript. Авторы заменили их на полноценные исполняемые файлы, написанные на Swift и Objective-C (современные языки программирования, применяемые разработчиками приложений для техники Apple). Смена инструментов заметно усложнила обнаружение и расширила возможности похитителя. Основные цели - программисты, владельцы криптоактивов и сотрудники ИТ-подразделений.
Описание
MacSync продаётся по модели "вредоносное ПО как услуга". Это схема, при которой создатели продают злоумышленникам готовый инструмент, а способ доставки каждый покупатель выбирает сам. Жертву заманивают на поддельный сайт под видом бесплатной или взломанной версии популярного приложения либо под видом новой программы. В одном из случаев появился криптокошелёк Toria, которого не существует: под него сделали отдельную страницу, а рекламу разместили в социальной сети X и мессенджере Telegram. Часть кампаний опирается на социальную инженерию, когда человека уговаривают собственноручно выполнить команду на своём компьютере.
По данным Kaspersky, цепочка заражения начинается с образа диска, внутри которого лежит приложение. При первом запуске оно снимает с себя служебные метки, которые macOS присваивает скачанным файлам, и достаёт из скрытого блока в конце собственного файла зашифрованный адрес следующего этапа. Текстовые скрипты на этой роли больше не используются - их место заняли бинарные загрузчики. Средства защиты Kaspersky относят такие образцы к семейству троянов, похитителей данных и загрузчиков MacSync.
Один из найденных образцов ссылался на общедоступный календарь в iCloud. Команды для дальнейшего заражения злоумышленники спрятали в описании события. Сервис Apple выступил промежуточным хранилищем для полезной нагрузки (так называют код, который выполняет основную вредоносную работу). Оболочка читает файл календаря построчно, пропускает посторонние строки и добирается до нужной. Затем она скачивает архив с приложением, снимает служебные метки, локально подписывает программу и запускает её.
Дальше работают два последовательных загрузчика. Второй из них проверяет, не запущен ли он внутри виртуальной машины, и мешает подключению отладчика. Для связи с командным сервером применяется отдельная утилита обмена ключами. Каждый заражённый компьютер получает уникальную пару ключей, сервер шифрует под неё ключ доступа к следующим файлам, а утилита стирает из памяти всё лишнее сразу после расшифровки. Такой подход затрудняет разбор образцов и сбор цифровых доказательств.
Похититель данных оформляет окно под то приложение, именем которого прикрывается, и запрашивает пароль администратора. После ввода пользователь видит уведомление о повреждённой программе и предложение переместить её в корзину. Для проверки пароля задействован интерфейс аутентификации PAM (программный слой macOS, отвечающий за вход в систему). Приём новый: впервые на macOS его заметили в июле 2026 года в семействе Pam Stealer, и теперь он расходится по другим вредоносным наборам.
Список похищаемого расширился. В него входят история и файлы cookie браузеров, сохранённые логины и пароли, данные расширений криптокошельков, переписка Telegram, системная связка ключей, файлы настроек для удалённого доступа и облачных сервисов, история команд оболочки, снимок профиля пользователя, а также сведения об устройстве и установленных программах. Отдельного упоминания заслуживает недоделанный механизм доступа к связке ключей: он пока отключён во всех найденных образцах. Логика кода выдаёт намерение разработчиков получить доступ к секретам браузеров без подтверждения владельца, но полностью замысел не реализован.
Бэкдор маскируется под Finder и закрепляется в системе несколькими способами: через объект автозапуска с именем системного агента, через правки в файле настроек командной оболочки и через перехватчики системы контроля версий, которые срабатывают при работе с кодом. Копию себя программа хранит в служебной папке пользователя и восстанавливается оттуда, если файлы удалить. Системные уведомления о новом объекте автозапуска она подавляет, останавливая отвечающие за них процессы. Командный сервер отдаёт распоряжения: подменить расширение браузера, заменить установленный кошелёк Ledger на поддельный, повторно собрать данные с устройства, а также перехватывать трафик браузера - последняя функция пока изучена не полностью.
Риск для организаций здесь выше, чем кажется при взгляде на домашний ноутбук. Машина разработчика связана с репозиториями, сборочными системами и корпоративными сервисами, поэтому одна успешная кража учётных данных открывает путь к дальнейшим атакам. Владельцы криптоактивов теряют средства напрямую. Меры предосторожности остаются привычными: обновлять macOS, скачивать программы только с сайтов разработчиков или из App Store, настораживаться при просьбе ввести пароль администратора от имени незнакомого приложения, проверять список автозапуска после установки нового софта, включать двухфакторную аутентификацию и хранить крупные суммы в холодном кошельке. Если пароль администратора всё же вводился после запуска подозрительной программы, безопаснее сменить пароли с другого, заведомо чистого устройства.
Индикаторы компрометации
