NEWS
Eine neue Variante der erstmals 2025 beobachteten Malware MacSync nutzt öffentliche iCloud-Kalendereinträge, um zusätzliche Schadsoftware auf macOS-Systeme nachzuladen. MacSync wird als Malware-as-a-Service angeboten und wurde bereits über ClickFix-Kampagnen sowie als vermeintlich kostenlose oder gecrackte Software verbreitet.
Nach Angaben von Kaspersky tarnten die Angreifer die Malware in einer aktuellen Kampagne als Krypto-Wallet namens „Toria“. Dafür richteten sie eine eigene Website ein und bewarben die angebliche Wallet über X und Telegram. Startet ein Nutzer die heruntergeladene Anwendung, ruft ein Downloader unter anderem einen öffentlichen iCloud-Kalender ab und leitet dessen Inhalt an die macOS-Shell zsh weiter. Die regulären Kalenderdaten verursachen dabei lediglich Fehler. Die Shell-Befehle, die die Angreifer hinter dem Feld DESCRIPTION: hinterlegt haben, werden dagegen ausgeführt. Sie laden ein weiteres, ebenfalls über iCloud bereitgestelltes Archiv mit der nächsten Stufe der Malware herunter. Der Downloader entfernt anschließend das macOS-Quarantäneattribut, versieht die Anwendung mit einer Ad-hoc-Signatur und startet sie. Über mehrere weitere Stufen lädt die Malware schließlich die eigentlichen MacSync-Komponenten nach. Da die Angreifer legitime Apple-Infrastruktur nutzen, dürfte die Erkennung über Netzwerkfilter deutlich schwerer fallen.
Das Infostealer-Modul stiehlt unter anderem Browserverlauf, Cookies und gespeicherte Anmeldedaten, Daten von Krypto-Wallet-Erweiterungen und -Apps, Telegram-Daten und die Keychain-Datei. Neu ist ein Backdoor-Modul, das sich als macOS-Dateimanager Finder tarnt. Es sichert seine Persistenz über einen LaunchAgent, Änderungen an der Konfigurationsdatei .zshrc sowie globale Git-Hooks. Über die Backdoor kann der Angreifer vom C2-Server bereitgestellte AppleScripts ausführen und weitere Dateien exfiltrieren. Außerdem kann er unter anderem Browser-Erweiterungen nachladen oder eine installierte Ledger-Wallet-Anwendung durch eine eigene Version ersetzen.
macOS-Nutzern wird empfohlen, Anwendungen ausschließlich aus vertrauenswürdigen Quellen zu beziehen, keine unbekannten Terminal-Befehle auszuführen und bei Aufforderungen zur Eingabe des Administratorpassworts Vorsicht walten zu lassen.
Autor: Michael Niers
