MacSync malware uses public iCloud calendars to deliver new payloads

MacSync : Le malware macOS abuse d’iCloud pour ses charges utiles

Une nouvelle variante du malware MacSync, un infostealer écrit en Swift, innove dans sa chaîne d’infection en utilisant des événements de calendriers iCloud publics pour diffuser ses charges utiles. Ce malware, initialement lié à la famille AMOS, s’est complexifié en intégrant des modules de backdoor furtifs.

Points clés :

• Vecteur d’infection : Utilisation d’ingénierie sociale (campagnes “ClickFix”, faux logiciels, sites de crypto-monnaies comme “Toria”).
• Mécanisme iCloud : Un téléchargeur récupère des commandes masquées dans la description d’un événement de calendrier iCloud public, qui sont ensuite exécutées par le shell zsh de macOS pour récupérer le malware.
• Backdoor sophistiquée : Un nouveau module en Objective-C se fait passer pour le processus système Finder. Il assure sa persistance via des LaunchAgents, des modifications de .zshrc et des hooks Git, tout en désactivant les notifications système pour rester indétectable.
• Capacités : Vol d’identifiants (navigateurs, portefeuilles crypto, Telegram, SSH, AWS, Kubernetes, etc.), exécution d’AppleScript distant, déploiement d’extensions de navigateur malveillantes et remplacement d’applications de portefeuille (ex: Ledger).

Vulnérabilités : Aucune CVE spécifique n’est associée, car le malware repose sur l’abus de fonctionnalités légitimes de macOS (zsh, LaunchAgents, AppleScript) et sur la manipulation de l’utilisateur.

Recommandations :

• Prudence avec les commandes : Ne jamais copier-coller ou exécuter des commandes trouvées sur Internet dans le terminal.
• Méfiance logicielle : Éviter de télécharger des fichiers DMG provenant de sites suspects, de logiciels piratés ou d’outils “gratuits” non vérifiés.
• Gestion des privilèges : Faire preuve d’une vigilance extrême face aux demandes de mot de passe administrateur inattendues.
• Hygiène système : Vérifier régulièrement la persistance logicielle (LaunchAgents) et rester attentif aux comportements inhabituels du système.

Source