MacSync-skadevare

MacSync er en omdøpt og oppgradert variant av mac.c-stealeren, som først dukket opp våren 2025. Bare en måned senere dukket skadevaren opp igjen under sitt nye navn. Selv om den fortsatt har datastjelingsfunksjonene til forgjengeren, introduserer MacSync en ekstra bakdørskomponent. Det er verdt å merke seg at den originale stjeleren ble utviklet i C, mens bakdørsmodulen er skrevet i Go, noe som fremhever skiftet mot en modulær og mer sofistikert struktur.

Global spredning gjennom ClickFix-svindel

MacSync har blitt identifisert over hele verden, med infeksjoner konsentrert i Ukraina, USA, Tyskland, Storbritannia og Spania. Skadevaren distribueres hovedsakelig via ClickFix-svindel, som lurer ofrene til å utføre ondsinnede kommandoer på systemene sine. Når den er utført, starter MacSync infiltrasjonsprosessen ved å vise en falsk passordforespørsel i et forsøk på å samle enhetslegitimasjon.

Dobbel funksjonalitet: Datatyveri og fjernkontroll

Etter å ha sikret tilgangen, distribuerer MacSync sin Go-baserte bakdør. Denne komponenten kobler seg til en kommando-og-kontroll-server (C&C), slik at angripere kan utføre kommandoer eksternt. Samtidig høster den datastjelende modulen sensitiv informasjon som:

• Personlige filer
• Påloggingsinformasjon
• Kryptovaluta-lommebøker

For å unngå deteksjon og hindre analyse bruker MacSync kodeforvirring og sletter midlertidige filer knyttet til operasjonene.

Formålet med bakdørmodulen

Bakdører er utformet for å gi nettkriminelle hemmelig tilgang til kompromitterte systemer. MacSyncs bakdør forenkler ikke bare fjernutførelse av kommandoer, men åpner også døren for ytterligere ondsinnede moduler. Denne modulære tilnærmingen øker skadevarens potensial til å utvide sine muligheter og ytterligere kompromittere infiserte systemer betydelig.

Spredning utover ClickFix

Selv om Cloudflare-relaterte ClickFix-svindel fortsatt er den viktigste leveringsvektoren, advarer forskere om at MacSync kan spre seg via flere distribusjonsmetoder. Nettkriminelle er ofte avhengige av phishing og sosial manipulering for å skjule skadelig programvare som legitime filer eller applikasjoner.

Noen av de vanligste infeksjonsteknikkene inkluderer:

• Nettsvindel, skadelig annonsering og villedende nedlastinger
• Mistenkelige gratisprogrammer, tredjeparts nedlastingskilder og P2P-nettverk

• Ondsinnede lenker eller vedlegg i spammeldinger

• Falske oppdateringer og ulovlig programvareaktivering («sprekker»)

• Formering via lokale nettverk og flyttbare stasjoner (USB-er, eksterne harddisker osv.)

Avsluttende tanker

MacSync markerer en betydelig utvikling fra forgjengeren mac.c ved å kombinere datatyveri med bakdørsfunksjonalitet. Den modulære designen og de brede distribusjonsmetodene gjør den til en spesielt farlig trussel. Brukere bør være oppmerksomme på phishing-kampanjer, mistenkelige nedlastinger og falske oppdateringsspørsmål, da disse fortsatt er de primære inngangsportene for denne skadelige programvaren.