Зловреден софтуер за MacSync
MacSync е ребрендиран и подобрен вариант на зловредния софтуер mac.c, който се появи за първи път през пролетта на 2025 г. Само месец по-късно зловредният софтуер се появи отново под новото си име. Въпреки че все още носи възможностите за кражба на данни на своя предшественик, MacSync въвежда допълнителен компонент за задна вратичка. Забележително е, че оригиналният софтуер за кражба е разработен на C, докато модулът за задна вратичка е написан на Go, което подчертава неговата промяна към модулна и по-сложна структура.
Съдържание
Глобално разпространение чрез измами с ClickFix
MacSync е идентифициран по целия свят, като инфекциите са концентрирани в Украйна, САЩ, Германия, Великобритания и Испания. Зловредният софтуер се разпространява предимно чрез измами ClickFix, които подвеждат жертвите да изпълняват злонамерени команди на техните системи. След като бъде изпълнен, MacSync започва процеса си на инфилтрация, като показва фалшива подкана за парола в опит да събере идентификационни данни за устройството.
Двойна функционалност: Кражба на данни и дистанционно управление
След осигуряване на достъп, MacSync внедрява своя Go-базиран бекдор. Този компонент се свързва със сървър за командване и контрол (C&C), позволявайки на атакуващите дистанционно да изпълняват команди. В същото време модулът за кражба на данни събира чувствителна информация, като например:
- Лични файлове
- Данни за вход
- Портфейли с криптовалута
За да избегне откриването и да възпрепятства анализа, MacSync използва обфускация на код и изтрива временни файлове, свързани с неговите операции.
Целта на модула Backdoor
Задните вратички са предназначени да предоставят на киберпрестъпниците таен достъп до компрометирани системи. Задната вратичка на MacSync не само улеснява дистанционното изпълнение на команди, но и оставя вратата отворена за допълнителни злонамерени модули. Този модулен подход значително увеличава потенциала на зловредния софтуер да разшири възможностите си и допълнително да компрометира заразените системи.
Разпространение отвъд ClickFix
Въпреки че измамите с ClickFix, свързани с Cloudflare, остават основният вектор за разпространение, изследователите предупреждават, че MacSync може да се разпространява чрез множество методи за разпространение. Киберпрестъпниците често разчитат на фишинг и социално инженерство, за да прикрият зловредния софтуер като легитимни файлове или приложения.
Някои от най-често срещаните техники за заразяване включват:
- Онлайн измами, злонамерена реклама и подвеждащи изтегляния
- Подозрителни сайтове за безплатен софтуер, източници за изтегляне от трети страни и P2P мрежи
- Злонамерени връзки или прикачени файлове в спам съобщения
- Фалшиви актуализации и незаконно активиране на софтуер („кракове“)
- Разпространение чрез локални мрежи и сменяеми устройства (USB, външни твърди дискове и др.)
Заключителни мисли
MacSync бележи значителна еволюция от своя предшественик mac.c, като комбинира операции за кражба на данни с функционалности на задна вратичка. Модулният му дизайн и широките му методи на разпространение го правят особено опасна заплаха. Потребителите трябва да бъдат бдителни за фишинг кампании, подозрителни изтегляния и фалшиви подкани за актуализации, тъй като те остават основните входни точки за този зловреден софтуер.
