Malware MacSync

O MacSync é uma variante reformulada e atualizada do ladrão mac.c, que surgiu na primavera de 2025. Apenas um mês depois, o malware ressurgiu com seu novo nome. Embora ainda possua os recursos de roubo de dados de seu antecessor, o MacSync introduz um componente de backdoor adicional. Notavelmente, o ladrão original foi desenvolvido em C, enquanto o módulo de backdoor foi escrito em Go, destacando sua mudança para uma estrutura modular e mais sofisticada.

Propagação global por meio de golpes do ClickFix

O MacSync foi identificado em todo o mundo, com infecções concentradas na Ucrânia, EUA, Alemanha, Reino Unido e Espanha. O malware é distribuído principalmente por meio de golpes do tipo ClickFix, que induzem as vítimas a executar comandos maliciosos em seus sistemas. Uma vez executado, o MacSync inicia seu processo de infiltração exibindo uma solicitação de senha falsa na tentativa de coletar credenciais do dispositivo.

Dupla funcionalidade: roubo de dados e controle remoto

Após garantir o acesso, o MacSync implementa seu backdoor baseado em Go. Este componente se conecta a um servidor de Comando e Controle (C&C), permitindo que invasores executem comandos remotamente. Ao mesmo tempo, o módulo de roubo de dados coleta informações confidenciais, como:

• Arquivos pessoais
• Credenciais de login
• Carteiras de criptomoedas

Para evitar a detecção e dificultar a análise, o MacSync usa ofuscação de código e apaga arquivos temporários vinculados às suas operações.

O propósito do módulo Backdoor

Backdoors são projetados para dar aos cibercriminosos acesso secreto a sistemas comprometidos. O backdoor do MacSync não só facilita a execução remota de comandos, como também deixa a porta aberta para módulos maliciosos adicionais. Essa abordagem modular aumenta significativamente o potencial do malware de expandir suas capacidades e comprometer ainda mais os sistemas infectados.

Proliferação além do ClickFix

Embora os golpes do ClickFix, com temática da Cloudflare, continuem sendo o principal vetor de distribuição, pesquisadores alertam que o MacSync pode se espalhar por meio de diversos métodos de distribuição. Os cibercriminosos frequentemente recorrem a phishing e engenharia social para disfarçar malware como arquivos ou aplicativos legítimos.

Algumas das técnicas de infecção mais comuns incluem:

• Golpes online, malvertising e downloads enganosos
• Sites suspeitos de freeware, fontes de download de terceiros e redes P2P

• Links ou anexos maliciosos em mensagens de spam

• Atualizações falsas e ativação ilegal de software ('cracks')

• Propagação por meio de redes locais e unidades removíveis (USBs, discos rígidos externos, etc.)

Considerações finais

O MacSync marca uma evolução significativa em relação ao seu antecessor, o mac.c, ao combinar operações de roubo de dados com funcionalidades de backdoor. Seu design modular e seus amplos métodos de distribuição o tornam uma ameaça especialmente perigosa. Os usuários devem ficar atentos a campanhas de phishing, downloads suspeitos e avisos falsos de atualização, pois esses continuam sendo os principais portais para esse malware.