Пользователи macOS снова оказались под прицелом злоумышленников. Последняя волна атак использует поддельные объявления о популярных инструментах - языковой модели Claude и пакетном менеджере Homebrew. Вместо обещанного софта жертвы получают вредоносную программу MacSync Stealer, которая выкачивает конфиденциальные данные.
Описание
Claude и Homebrew - крайне востребованные продукты среди разработчиков и технических специалистов. Именно эти категории пользователей обычно имеют доступ к корпоративным репозиториям, закрытым ключам и критическим настройкам. Успешная атака на одного такого сотрудника может открыть злоумышленникам путь в инфраструктуру целой компании. Во-вторых, злоумышленники применяют социальную инженерию нового поколения - так называемую технику ClickFix, которая заставляет людей самостоятельно выполнять опасные команды.
Схема атаки выглядит следующим образом. Злоумышленники размещают в поисковых системах и на сайтах объявлений платную рекламу, которая внешне ничем не отличается от официальных ссылок на загрузку Claude или Homebrew. Пользователь кликает по такому объявлению и попадает на поддельную страницу, которая точь-в-точь копирует дизайн настоящего сайта. Там жертве предлагают скачать обновление или установочный файл. Но вместо привычной кнопки загрузки посетитель видит инструкцию скопировать некий код и вставить его в окно терминала.
Это и есть техника ClickFix. Её главная опасность в том, что человек сам запускает вредоносную команду, а значит, система безопасности macOS (Gatekeeper, нотаризация приложений) не блокирует угрозу - ведь пользователь действует от своего имени. После того как код выполнен, на экране появляется запрос на ввод системного пароля. Как поясняют эксперты, это необходимо для установки дополнительного компонента, который закрепляется в системе и даёт стилеру доступ к связке ключей (Keychain), файлам браузеров и учётным записям.
Исследователи из компании, занимающейся мониторингом угроз, обнаружили четыре поддельные страницы, которые маскируются под официальные сайты Claude и Homebrew. Все они принадлежат одной кампании, нацеленной исключительно на macOS. При этом авторы атаки не ограничиваются одной платформой: объявления о Claude также перенаправляют пользователей Windows на вредоносные программы для этой ОС, что указывает на масштабную и хорошо спланированную операцию.
Сам MacSync Stealer, судя по имеющимся данным, относится к классу инфостилеров (вредоносных программ, предназначенных для кражи личных данных). После заражения он собирает файл с метаинформацией, где указаны название вредоносной программы и сборочный тег. Это, вероятно, используется злоумышленниками для подсчёта успешных заражений и определения версий вредоноса. Среди похищаемых данных - сохранённые пароли из браузеров (Chrome, Safari, Firefox), данные кредитных карт, cookie-файлы, содержимое системной связки ключей, а также файлы с определённых директорий (например, папки разработчика, SSH-ключи, конфигурации VPN).
Особую тревогу вызывает то, что стилер запрашивает именно системный пароль. Мало кто из пользователей заподозрит неладное, когда стандартный диалог macOS просит авторизоваться для установки программного обеспечения. Однако в данном случае этот пароль сразу уходит злоумышленникам, открывая им доступ к зашифрованным данным и возможность выполнять любые команды с привилегиями администратора.
Последствия для бизнеса могут быть катастрофическими. Если учётная запись разработчика скомпрометирована, атакующий получает доступ к кодовой базе, токенам CI/CD и внутренним репозиториям. Утечка SSH-ключей позволяет подключаться к серверам без дополнительной аутентификации. Похищенные cookie-файлы дают возможность обходить двухфакторную аутентификацию на многих сайтах. В результате компания может потерять не только данные, но и контроль над собственной инфраструктурой.
Судя по датам, указанным в технических заметках, самые свежие инциденты зафиксированы 19 мая 2026 года, то есть атаки продолжаются буквально каждый день. Это значит, что вредоносная реклама всё ещё активна, а злоумышленники регулярно меняют домены и поддельные страницы, чтобы обходить блокировки.
Как защититься от подобной угрозы? Прежде всего, стоит помнить, что ни один официальный продукт - ни Claude, ни Homebrew - никогда не попросит пользователя копировать команды в терминал для установки. Homebrew устанавливается одной строкой в терминале, но эта команда официальная, её можно проверить на странице brew.sh. Любое отклонение от этой процедуры - повод насторожиться. Не менее важно отключить автоматический поиск обновлений через рекламные баннеры и использовать только прямые ссылки с официальных сайтов или проверенных репозиториев (например, GitHub). Для корпоративных сред стоит внедрить политику запрета установки неподписанного ПО, а также использовать решения класса EDR (системы обнаружения и реагирования на конечных точках), которые выявляют аномальное поведение процессов.
Тем не менее ключевой урок этой истории - доверие к рекламе в поисковиках снова оказывается смертельной ловушкой. Злоумышленники эксплуатируют самую слабую часть любой защиты - человеческую психологию. Пока пользователи будут слепо верить красивым объявлениям и вводить пароль по первой просьбе, такие атаки будут продолжаться. Единственный надёжный способ избежать заражения - сознательная осторожность и проверка любого источника загрузки, даже если он выглядит как оригинал.
Индикаторы компрометации
