MacSync kártevő

A MacSync a mac.c adatlopó program átnevezett és továbbfejlesztett változata, amely először 2025 tavaszán jelent meg. Mindössze egy hónappal később a rosszindulatú program új néven bukkant fel újra. Bár továbbra is rendelkezik elődje adatlopási képességeivel, a MacSync egy további hátsó ajtó komponenst vezet be. Figyelemre méltó, hogy az eredeti adatlopót C nyelven fejlesztették, míg a hátsó ajtó modul Go nyelven íródott, ami kiemeli a moduláris és kifinomultabb struktúra felé való elmozdulását.

Globális terjedés ClickFix átveréseken keresztül

A MacSync vírust világszerte azonosították, a fertőzések Ukrajnában, az Egyesült Államokban, Németországban, az Egyesült Királyságban és Spanyolországban koncentrálódtak. A rosszindulatú program elsősorban ClickFix átveréseken keresztül terjed, amelyek ráveszik az áldozatokat, hogy rosszindulatú parancsokat futtassanak a rendszerükön. A futtatás után a MacSync egy hamis jelszó bekérésével kezdi meg a beszivárgási folyamatot, hogy megpróbálja megszerezni az eszköz hitelesítő adatait.

Kettős funkció: adatlopás és távirányítás

A hozzáférés biztosítása után a MacSync telepíti a Go-alapú hátsó ajtót. Ez a komponens egy parancs- és vezérlő (C&C) szerverhez csatlakozik, lehetővé téve a támadók számára, hogy távolról hajtsanak végre parancsokat. Ugyanakkor az adatlopó modul érzékeny információkat gyűjt, például:

• Személyes fájlok
• Bejelentkezési adatok
• Kriptovaluta pénztárcák

Az észlelés elkerülése és az elemzés akadályozása érdekében a MacSync kód obfuszkálást alkalmaz, és törli a műveleteihez kapcsolódó ideiglenes fájlokat.

A hátsó ajtó modul célja

A hátsó ajtók célja, hogy titkos hozzáférést biztosítsanak a kiberbűnözők számára a feltört rendszerekhez. A MacSync hátsó ajtaja nemcsak a távoli parancsfuttatást teszi lehetővé, hanem nyitva hagyja az ajtót további rosszindulatú modulok számára is. Ez a moduláris megközelítés jelentősen növeli a rosszindulatú program képességeinek bővítésére és a fertőzött rendszerek további veszélyeztetésére való képességét.

A ClickFixen túli elterjedés

Bár a Cloudflare témájú ClickFix átverések továbbra is a fő terjedési módok, a kutatók arra figyelmeztetnek, hogy a MacSync több terjesztési módszeren keresztül is terjedhet. A kiberbűnözők gyakran adathalászatra és társadalmi manipulációra támaszkodnak, hogy a rosszindulatú programokat legitim fájlokként vagy alkalmazásokként álcázzák.

A leggyakoribb fertőzési technikák közé tartozik:

• Online csalások, rosszindulatú hirdetések és megtévesztő letöltések
• Gyanús ingyenes szoftveroldalak, harmadik féltől származó letöltési források és P2P hálózatok

• Rosszindulatú linkek vagy mellékletek a spamüzenetekben

• Hamis frissítések és illegális szoftveraktiválás („crackek”)

• Terjesztés helyi hálózatokon és cserélhető meghajtókon (USB-ken, külső merevlemezeken stb.) keresztül

Záró gondolatok

A MacSync jelentős fejlődést jelent a mac.c elődjéhez képest, mivel az adatlopási műveleteket hátsó ajtó funkciókkal ötvözi. Moduláris felépítése és széles körű terjesztési módszerei különösen veszélyes fenyegetést jelentenek. A felhasználóknak résen kell lenniük az adathalász kampányokkal, a gyanús letöltésekkel és a hamis frissítési utasításokkal szemben, mivel ezek továbbra is a kártevő elsődleges behatolási pontjai.