Новая версия стилера MacSync похищает пароли и данные криптокошельков пользователей macOS
- CNews FORUM 12 ноября
- CNews AWARDS 12 ноября
- Школа Роста
- Российский рынок облаков за 20 лет
- 30 лет рынку ERP в России
- Главные
ИТ-сценарии 2026 - Цифровизация
- Импортозамещение
- Безопасность
- ИТ в госсекторе
- ИТ в банках
- ИТ в торговле
- Телеком
- Интернет
- ИТ-бизнес
- Рейтинги
- Инфографика
|
Эксперты «Лаборатории Касперского» выявили обновленный вариант стилера MacSync, нацеленного на устройства под управлением macOS. Вредоносное ПО появилось в 2024-2025 гг. как ответвление стилера AMOS, однако с тех пор значительно изменилось. Новая версия, обнаруженная в сентябре 2026 г., использует более сложную многоэтапную цепочку заражения. В результате на устройство устанавливаются стилер, предназначенный для кражи паролей, криптовалюты и конфиденциальных данных пользователей, и бэкдор, который предоставляет злоумышленникам удаленный доступ к зараженному устройству. Об этом CNews сообщили представители «Лаборатории Касперского».
Начало атаки. Исходный вредоносный файл может попасть на устройство в результате загрузки зловреда, замаскированного под приложение, которое хотел скачать пользователь, — например, сервис для совместной работы над документами или криптовалютный кошелек. Этот файл запускает цепочку последующих загрузок и манипуляций на устройстве. В некоторых случаях один из компонентов размещался в общедоступной записи календаря iCloud в формате *.ics. В результате заражения на устройство устанавливаются ключевые компоненты MacSync: стилер и бэкдор.
Как отображается и что крадет стилер. После установки стилер, маскируясь под приложение, которое хотел скачать пользователь, запрашивает пароль администратора. Если его ввести, появляется фейковое уведомление о том, что приложение повреждено, с предложением переместить его в корзину. Обычно macOS действительно отображает такое уведомление, когда пользователь пытается запустить реально поврежденное приложение, однако в этом случае уведомление сгенерировано вредоносным ПО и по факту в корзину ничего не переносится. Cтилер остается на устройстве и собирает историю просмотров в браузере, cookie-файлы, сохраненные логины и пароли, данные приложений криптокошельков, мессенджера Telegram. Также он собирает список установленных приложений, информацию о модели устройства и его аппаратном обеспечении, настройки SSH, ZSH и другую информацию.
Как отображается и что делает бэкдор. Еще один компонент MacSync — бэкдор — маскируется под легитимный Finder, стандартный файловый менеджер macOS. Одна из его функций — возможность удаленно установить в браузере на зараженном устройстве любое расширение, наиболее вероятная цель которого — кража криптовалюты. Кроме того, злоумышленники также могут заменить легитимное приложение криптокошелька Ledger на вредоносное, собирать системную информацию или отдельные файлы пользователя и выполнять произвольный код.
«Новая версия стилера MacSync значительно отличается от предыдущих модификаций усложненной цепочкой заражения и внедрением новых функций. Злоумышленники постоянно адаптируют методы социальной инженерии, которые позволяют им получать первоначальный доступ к устройству жертвы, поэтому важно проявлять бдительность при установке новых приложений, особенно если разработчик не вызывает доверия. Мы рекомендуем всегда проверять, действительно ли загружаемое приложение принадлежит оригинальному разработчику, а также удостоверяться в его надежности, обращаясь к проверенным источникам. Пароль администратора — это один из ключевых элементов защиты конфиденциальных и учетных данных на устройстве, поэтому будьте особенно внимательны, когда приложения запрашивают его», — сказал Сергей Пузан, эксперт «Лаборатории Касперского» по кибербезопасности.
Решения «Лаборатории Касперского» детектируют и блокируют угрозы семейства MacSync.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.