Похититель данных MacSync для macOS крадет пароли и криптокошельки под видом установщиков программ

Распространение MacSync строится не на взломе уязвимостей, а на социальной инженерии. Злоумышленники размещают вредоносную рекламу в поисковых системах, создают поддельные сайты с установщиками популярных сервисов и рассылают сообщения о "необходимых обновлениях". Чаще всего подделывают Google Meet и Zoom, а также инструменты для разработчиков: Claude AI, Cursor, Docker Desktop и Notion. Иногда аферисты имитируют сайты для торговли криптовалютами и предлагают "обновить торговый график" для доступа к рыночным данным.

Большинство кампаний использует технику ClickFix. Пользователь заходит на поддельную страницу и видит уведомление об ошибке, например, о неработающем микрофоне или не пройденной проверке CAPTCHA. Сайт убеждает жертву открыть терминал, скопировать команду и выполнить её. На самом деле команда загружает и запускает MacSync. Инфраструктура таких кампаний постоянно ротируется, однако Microsoft впоследствии связала более 30 доменов с MacSync по повторяющимся деталям запросов и особенностям выгрузки украденных данных.

После запуска программа действует тихо и почти не оставляет следов. Она выполняет свою работу в фоне, не привязываясь к открытому окну терминала. Изначально вредоносное ПО может попросить у пользователя системный пароль, прикрываясь стандартным диалогом macOS. Затем MacSync собирает сохраненные логины и пароли из браузеров, файлы cookie, содержимое связки ключей, переписки Telegram, SSH‑ключи и файлы криптовалютных кошельков. Всю эту информацию программа упаковывает в ZIP‑архив и отправляет на управляющий сервер. Если основной сервер недоступен, загрузка продолжается через резервные адреса.

Программа написана с учетом обхода защитных механизмов. В её коде не хранятся адреса серверов и командные строки в открытом виде: они зашифрованы и расшифровываются в памяти лишь во время работы. Это позволяет избегать детектирования антивирусами и статическими анализаторами. Сам MacSync представляет собой компактный исполняемый файл, который не создает лишних записей на диске. Для своих действий он использует штатные компоненты macOS, что дополнительно маскирует его присутствие. После успешной передачи архива вредоносное ПО удаляет временные файлы и следы обращения к серверу.

Наибольшая активность MacSync наблюдается в странах с массовым использованием macOS в корпоративном секторе. Судя по телеметрии, лидируют США, далее следуют Великобритания, Германия, Япония, Канада, Франция и Сингапур. В зоне риска также Австралия, Индия, Нидерланды и скандинавские страны. Среди пострадавших отраслей чаще всего фигурируют разработка программного обеспечения, криптовалютная индустрия, финансовый сектор и государственные организации.

Для бизнеса угроза особенно серьезна из‑за того, что похищенные ключи удаленного доступа и токены облачных платформ позволяют злоумышленникам проникнуть во внутреннюю сеть компании. Через них атакующие могут добраться до кода закрытых репозиториев, систем сборки и развертывания, а также учетных записей сотрудников. Это создает риск кражи интеллектуальной собственности и компрометации цепочки поставок. Частные пользователи теряют средства с криптокошельков, доступ к переписке и социальным сетям.

Чтобы снизить риск заражения MacSync, достаточно соблюдать несколько простых правил. Не стоит выполнять команды из подозрительных сайтов, даже если страница выглядит официально и просит "решить проблему" через терминал. Легитимные сервисы почти никогда не требуют таких действий. Приложения нужно загружать только из App Store или с подтвержденных сайтов разработчиков. На всех важных аккаунтах стоит включить двухфакторную аутентификацию. В компаниях полезно ограничить права сотрудников на установку программ и запуск скриптов, а также регулярно проверять папку автозагрузки на подозрительные элементы. Эти меры не дают абсолютной гарантии, но делают атаки заметно менее успешными.