Onderzoekers van Securelist hebben in september 2026 een nieuwe, meer geavanceerde distributieketen ontdekt voor MacSync, een infostealer die gericht is op macOS-gebruikers. De malware richt zich specifiek op gebruikers van cryptovaluta en ontwikkelaarstools.

De distributieketen begint nu met schadelijke schijfkopiebestanden (DMG's) die zich voordoen als legitieme applicaties. Deze DMG's bevatten een applicatiebundel en zijn een significante verandering ten opzichte van eerdere methoden die voornamelijk vertrouwden op het plakken van Terminal-commando's. Slachtoffers kunnen de malware tegenkomen via valse of gekraakte software, zoals een fictieve crypto-portemonnee-applicatie genaamd Toria, die op sociale media wordt gepromoot. Niet elke MacSync-campagne maakt echter gebruik van deze specifieke distributieketen.

Er is een duidelijke verschuiving opgemerkt van script-zware distributiemethoden naar gecompileerde componenten geschreven in Swift en Objective-C. Dit maakt MacSync flexibeler en biedt aanvallers meer mogelijkheden om activiteiten te verbergen op zowel Apple Silicon als Intel Macs.

Eenmaal geopend, kan de applicatie macOS-quarantainekenmerken verwijderen, meer code ophalen en uiteindelijk tools installeren die ontworpen zijn om wachtwoorden, portemonneegegevens en werkgerelateerde inloggegevens te stelen. Een mogelijke route omvat de uitvoering van een gecompileerd JXA-script rechtstreeks in het geheugen. Een andere route volgt een loader die verschillende droppers activeert voordat de finale componenten worden binnengehaald, wat een opmerkelijke evolutie is ten opzichte van de eerdere ClickFix-distributiemethode. Beide routes leveren diefstal- en besturings-op-afstand tools.

Een loader kan een versleuteld adres ophalen en vervolgens, in ten minste één geval, een openbare iCloud-agenda downloaden. Dit transformeert een gewone deelnamefunctie in een onverwachte stap voor de distributie van malware. De agenda-gebeurtenis verbergt commando's in de beschrijving, die een archief downloaden met een andere applicatie. Deze applicatie wordt vervolgens uitgevoerd na het verwijderen van beveiligingskenmerken en het toevoegen van een ad-hoc handtekening. De latere stadia decoderen een informatie-stelend programma en een backdoor. Tijdelijke bestanden en lock-bestanden helpen de uitvoering te beheren, terwijl voltooide modules logs en andere sporen wissen.

MacSync controleert ook op virtuele machines en blokkeert debuggers, wat onderzoek bemoeilijkt en controles op geïnfecteerde apparaten compliceert. De malware kan zich voordoen als Finder en actief blijven via een LaunchAgent, ZSH-opstartinstellingen en globale Git-hooks. De herstelroutine herstelt bestanden en onderdrukt opstartmeldingen.

De op Swift gebaseerde stealer vraagt om het administratorwachtwoord via een venster dat is afgestemd op de applicatie die het nabootst. Na een reactie van het slachtoffer wordt een valse "beschadigde app" waarschuwing weergegeven, waardoor installatiefouten routinematig lijken. Het verifieert het wachtwoord via macOS-authenticatie-interfaces in plaats van een oudere command-line methode.

De stealer verzamelt browsergeschiedenis, cookies, opgeslagen logins, portemonnee-extensiegegevens, Keychain-bestanden, Telegram-informatie en apparaatdetails. Het zoekt ook naar configuratiebestanden en geschiedenissen gekoppeld aan SSH, ZSH, AWS, Kubernetes en Git, wat het bereik vergroot tot software-ontwikkelingsworkflows. Gestolen browsersessies, cloud-sleutels, SSH-instellingen, broncodebeheerdata en portemonneemateriaal kunnen persoonlijke accounts blootleggen en potentieel toegang verlenen aan criminelen tot bedrijfsomgevingen.

De backdoor communiceert via HTTP en kan commando's ontvangen, bestanden uploaden, een browseruitbreiding implementeren of een geïnstalleerde Ledger-portemonnee vervangen door een schadelijke versie. De live-browserfunctie kan mogelijk het onderscheppen van browserverkeer mogelijk maken.

De schaal van de infecties blijft onduidelijk, aangezien er geen slachtofferaantal is gepubliceerd. Gebruikers wordt geadviseerd software alleen te verkrijgen van geverifieerde ontwikkelaarsites en gratis of gekraakte kopieën te vermijden. Gebruikers wordt ook geadviseerd om geen macOS-waarschuwingen te omzeilen, geen niet-geverifieerde commando's in Terminal te plakken of geen onverwachte wachtwoordprompts goed te keuren.

Teams wordt geadviseerd om onbekende opstartitems, gewijzigde Git-hooks en verdachte uitgaande uploads te onderzoeken. Bij vermoeden van blootstelling wordt geadviseerd de Mac te isoleren, sessies in te trekken en inloggegevens te vervangen vanaf een vertrouwd apparaat. Het beoordelen van alle persistentiepunten is belangrijk voordat de Mac weer online wordt gezet.