Σύνοψη
- Η Kaspersky εντόπισε μια νέα, εξελιγμένη έκδοση του infostealer MacSync τον Σεπτέμβριο του 2026, η οποία στοχεύει ευθέως τα συστήματα macOS.
- Το κακόβουλο λογισμικό εγκαθιστά ταυτόχρονα ένα infostealer και ένα backdoor, απειλώντας διαπιστευτήρια, προσωπικά δεδομένα και περιουσιακά στοιχεία σε κρυπτονομίσματα.
- Η αρχική μόλυνση πραγματοποιείται συχνά μέσω κακόβουλων αρχείων που μεταμφιέζονται σε χρήσιμες εφαρμογές, αξιοποιώντας ακόμη και δημόσιες καταχωρίσεις ημερολογίου iCloud σε μορφή .ics.
- Το backdoor λειτουργεί αθόρυβα εμφανιζόμενο ως η νόμιμη εφαρμογή Finder, επιτρέποντας στους επιτιθέμενους να εγκαθιστούν κακόβουλα add-ons για την υποκλοπή crypto wallets, όπως η εφαρμογή της Ledger.
Η νέα έκδοση του MacSync λειτουργεί ως ένα προηγμένο infostealer και backdoor για συστήματα macOS, έχοντας ως απόλυτο στόχο την υποκλοπή ευαίσθητων διαπιστευτηρίων και περιουσιακών στοιχείων σε κρυπτονομίσματα. Οι επιτιθέμενοι χρησιμοποιούν μεθοδευμένες τεχνικές κοινωνικής μηχανικής προκειμένου να ξεγελάσουν τον χρήστη ώστε να εισαγάγει τον κωδικό πρόσβασης διαχειριστή, επιτρέποντας με αυτόν τον τρόπο στο κακόβουλο λογισμικό να συλλέξει ανενόχλητο δεδομένα από web browsers, την εφαρμογή Telegram και διάφορα crypto wallets.
Οι ερευνητές της Kaspersky έφεραν στο φως μια άκρως εξελιγμένη και ριζικά ανανεωμένη έκδοση του infostealer που απευθύνεται σε υπολογιστές της Apple, φέροντας την ονομασία MacSync. Το αρχικό ίχνος της απειλής είχε κάνει την εμφάνισή του κατά την περίοδο 2024–2025, λειτουργώντας ως παραλλαγή του γνωστού stealer AMOS, ωστόσο η τρέχουσα μορφή που εντοπίστηκε τον Σεπτέμβριο του 2026 έχει υποστεί εκτενείς αρχιτεκτονικές αλλαγές. Η τελευταία έκδοση αξιοποιεί μια νέα και ιδιαίτερα σύνθετη αλυσίδα επίθεσης, η οποία αναλαμβάνει να εγκαταστήσει στη συσκευή του ανυποψίαστου θύματος δύο ξεχωριστά αλλά αλληλοσυμπληρούμενα βασικά στοιχεία, δηλαδή ένα infostealer και ένα backdoor. Η διπλή αυτή μόλυνση θέτει σε άμεσο κίνδυνο τα διαπιστευτήρια σύνδεσης, τα προσωπικά δεδομένα και τα περιουσιακά στοιχεία που διατηρούν οι χρήστες σε κρυπτονομίσματα.
Η διαδικασία της επίθεσης ενεργοποιείται τη στιγμή που ένα κακόβουλο αρχείο καταφέρνει να βρει τον δρόμο του προς τη συσκευή του χρήστη. Η ενέργεια αυτή λαμβάνει χώρα συνήθως όταν το θύμα κατεβάζει εν αγνοία του ένα αρχείο το οποίο παρουσιάζεται παραπλανητικά ως μια απολύτως νόμιμη και χρήσιμη εφαρμογή, όπως για παράδειγμα ένα εργαλείο κοινής χρήσης εγγράφων ή ένα crypto wallet. Η αρχική αυτή λήψη πυροδοτεί άμεσα μια αλυσιδωτή αντίδραση επιπλέον κακόβουλων λήψεων και διεργασιών στο παρασκήνιο της συσκευής. Ιδιαίτερο ενδιαφέρον παρουσιάζει το γεγονός ότι, σε ορισμένες καταγεγραμμένες περιπτώσεις, τουλάχιστον μία από τις λήψεις που πραγματοποιούνται στο ευρύτερο πλαίσιο της αλυσίδας επίθεσης φιλοξενείται στρατηγικά σε κάποια δημόσια καταχώριση ημερολογίου iCloud υπό τη μορφή αρχείου .ics. Αμέσως μετά την επιτυχή παραβίαση των συστημάτων ασφαλείας της συσκευής, το λειτουργικό σύστημα μολύνεται οριστικά με τα βασικά στοιχεία του MacSync.
Κατά τη διάρκεια της εκκίνησης του, το infostealer φροντίζει να εμφανίζεται στην οθόνη ακριβώς ως η εφαρμογή που ο χρήστης θεωρεί εσφαλμένα ότι έχει επιλέξει να εγκαταστήσει. Ακολούθως, το λογισμικό ζητά με πειστικό τρόπο από τον χρήστη να εισαγάγει τον κωδικό πρόσβασης του λογαριασμού διαχειριστή. Εφόσον ο κωδικός πληκτρολογηθεί και γίνει αποδεκτός, το σύστημα προβάλλει μια κατασκευασμένη ειδοποίηση η οποία αναφέρει ψευδώς ότι η εφαρμογή «έχει υποστεί ζημιά», προτείνοντας μάλιστα τη μετακίνησή της στον κάδο απορριμμάτων.
Η συγκεκριμένη τεχνική έχει σχεδιαστεί σχολαστικά προκειμένου να αποπροσανατολίσει πλήρως τον χρήστη και να συγκαλύψει αποτελεσματικά την κακόβουλη δραστηριότητα που εκτυλίσσεται στο παρασκήνιο. Ελεύθερο πλέον να δράσει, το infostealer προχωρά στη μαζική συλλογή δεδομένων από τους εγκατεστημένους φυλλομετρητές, υφαρπάζοντας το ιστορικό περιήγησης, τα cookies και τα αποθηκευμένα διαπιστευτήρια, ενώ παράλληλα στοχεύει δεδομένα από εφαρμογές crypto wallets και την πλατφόρμα επικοινωνίας Telegram. Ακόμη, το λογισμικό αντλεί τα στοιχεία σύνδεσης και τον κωδικό πρόσβασης της ίδιας της συσκευής, το ευαίσθητο αρχείο Keychain, την πλήρη λίστα με τις εγκατεστημένες εφαρμογές, καθώς και αναλυτικές πληροφορίες σχετικά με το hardware και το ακριβές μοντέλο του υπολογιστή. Οι επιτιθέμενοι δεν σταματούν εκεί, καθώς στο στόχαστρό τους βρίσκονται επίσης τα αρχεία ρυθμίσεων SSH και ZSH.
Ο δεύτερος βασικός πυλώνας της επίθεσης αφορά το backdoor του MacSync, το οποίο μεταμφιέζεται έξυπνα λειτουργώντας ως η προεγκατεστημένη και απολύτως νόμιμη εφαρμογή Finder, παρέχοντας στους κυβερνοεγκληματίες συνεχή και αθόρυβη πρόσβαση στα δεδομένα της συσκευής. Μέσω αυτού του κρυφού καναλιού επικοινωνίας, οι επιτιθέμενοι αποκτούν τη δυνατότητα να εγκαθιστούν απομακρυσμένα και κατά βούληση τροποποιημένα add-ons στον web browser του ανυποψίαστου χρήστη. Η ενέργεια αυτή αποσκοπεί κατά κύριο λόγο στην αντικατάσταση των αυθεντικών επεκτάσεων που σχετίζονται με crypto wallets με κακόβουλες παραλλαγές τους. Το backdoor τους προσφέρει επίσης την ικανότητα να αντικαθιστούν πλήρως τη νόμιμη εφαρμογή διαχείρισης κρυπτονομισμάτων της εταιρείας Ledger με ένα απολύτως λειτουργικό αλλά κακόβουλο αντίγραφό της. Τέλος, μπορούν να συλλέγουν ανενόχλητοι πληροφορίες για το σύστημα ή άλλα κρίσιμα αρχεία του χρήστη και να εκτελούν κακόβουλο κώδικα της επιλογής τους για τη διεκπεραίωση περαιτέρω παράνομων σκοπών.
Ο Sergey Puzan, ειδικός σε θέματα ασφάλειας στην Kaspersky, σημειώνει ότι η νέα αυτή έκδοση διαφέρει σημαντικά από τις προηγούμενες, καθώς ενσωματώνει νέες δυνατότητες που καθιστούν την αλυσίδα επίθεσης εξαιρετικά πιο σύνθετη. Οι κυβερνοεγκληματίες επενδύουν ενεργά στην ανάπτυξη τεχνικών κοινωνικής μηχανικής, οι οποίες λειτουργούν πλέον ως το πλέον αποδοτικό αρχικό σημείο πρόσβασης στη συσκευή του εκάστοτε θύματος. Καθίσταται επιτακτική η ανάγκη για εξαιρετική προσοχή κατά την εγκατάσταση νέων εφαρμογών, ιδίως όταν ο κατασκευαστής τους δεν θεωρείται ευρέως αξιόπιστος, ενώ συνιστάται ο αυστηρός έλεγχος της γνησιότητας των αρχείων μέσω πιστοποιημένων πηγών. Ο κωδικός πρόσβασης διαχειριστή αποτελεί το τελικό οχυρό για την προστασία των πιο ευαίσθητων δεδομένων και οι χρήστες οφείλουν να είναι εξαιρετικά καχύποπτοι όταν διάφορες εφαρμογές απαιτούν την εισαγωγή του.
Αξίζει να σημειωθεί πως οι λύσεις ασφαλείας της Kaspersky εντοπίζουν και εξουδετερώνουν με επιτυχία τις απειλές που προέρχονται από την οικογένεια του MacSync.
Διαβάστε επίσης
