MacSync-malware

MacSync is een vernieuwde en verbeterde variant van de mac.c-stealer, die voor het eerst verscheen in het voorjaar van 2025. Slechts een maand later dook de malware weer op onder zijn nieuwe naam. Hoewel het nog steeds de datadiefstalmogelijkheden van zijn voorganger heeft, introduceert MacSync een extra backdoorcomponent. Opvallend is dat de originele stealer in C is ontwikkeld, terwijl de backdoormodule in Go is geschreven, wat de verschuiving naar een modulaire en geavanceerdere structuur benadrukt.

Wereldwijde verspreiding via ClickFix-zwendel

MacSync is wereldwijd geïdentificeerd, met infecties geconcentreerd in Oekraïne, de VS, Duitsland, het VK en Spanje. De malware wordt voornamelijk verspreid via ClickFix-scams, die slachtoffers ertoe verleiden kwaadaardige opdrachten op hun systemen uit te voeren. Na de uitvoering begint MacSync met zijn infiltratieproces door een valse wachtwoordmelding weer te geven in een poging apparaatgegevens te verzamelen.

Dubbele functionaliteit: gegevensdiefstal en afstandsbediening

Nadat de toegang is beveiligd, implementeert MacSync zijn Go-gebaseerde backdoor. Dit onderdeel maakt verbinding met een Command-and-Control (C&C)-server, waardoor aanvallers op afstand commando's kunnen uitvoeren. Tegelijkertijd verzamelt de datastelende module gevoelige informatie, zoals:

• Persoonlijke bestanden
• Inloggegevens
• Cryptovaluta-wallets

Om detectie te omzeilen en analyse te belemmeren, maakt MacSync gebruik van codeverduistering en worden tijdelijke bestanden die aan de activiteiten zijn gekoppeld, gewist.

Het doel van de Backdoor-module

Backdoors zijn ontworpen om cybercriminelen geheime toegang te geven tot gecompromitteerde systemen. De backdoor van MacSync maakt niet alleen de uitvoering van opdrachten op afstand mogelijk, maar laat ook de deur open voor extra kwaadaardige modules. Deze modulaire aanpak vergroot de mogelijkheden van de malware aanzienlijk om zijn mogelijkheden uit te breiden en geïnfecteerde systemen verder te compromitteren.

Proliferatie voorbij ClickFix

Hoewel ClickFix-scams met Cloudflare-thema de belangrijkste verspreidingsmethode blijven, waarschuwen onderzoekers dat MacSync zich via meerdere distributiemethoden kan verspreiden. Cybercriminelen maken vaak gebruik van phishing en social engineering om malware te vermommen als legitieme bestanden of applicaties.

Enkele van de meest voorkomende infectietechnieken zijn:

• Online oplichting, malvertising en misleidende downloads

Laatste gedachten

MacSync markeert een significante evolutie ten opzichte van zijn mac.c-voorganger door datadiefstal te combineren met backdoor-functionaliteit. Het modulaire ontwerp en de brede distributiemethoden maken het een bijzonder gevaarlijke bedreiging. Gebruikers moeten alert blijven op phishingcampagnes, verdachte downloads en valse updatemeldingen, aangezien dit de belangrijkste toegangspoorten voor deze malware blijven.