Недавно сообщество безопасности поделилось важным предупреждением: активный на платформе macOS вредоносная программа MacSync Stealer завершила довольно скрытое техническое обновление.

С тех пор как низкоуровенные методы "перетаскивания в терминал" и "ClickFix" были использованы, эта эволюция достигла настоящих подписей кода + нотарифицированных приложений Swift. Это выглядит как обычное программное обеспечение, поскольку оно получило более высокий уровень "доверия" под защитой платформы Apple — вот где кроется настоящая опасность.

Более сложным является то, что способы распространения также стали более хитрыми. Вредоносные программы маскируются под файл zk-call-messenger-installer-3.9.2-lts.dmg и распространяются, притягивая вас к загрузке, как мгновенное средство связи. Более того, новая версия особенно коварна — пользователю вообще не нужно вводить команды в терминале, все грязные работы выполняет встроенная программа Swift, которая напрямую загружает скрипты с удаленного сервера и завершает кражу данных.

Исследователи безопасности отметили, что ID команды разработчиков данного образца составляет GNJLS3UYZ4, а соответствующий хэш пока не был отозван Apple. Это означает, что под защитой стандартных механизмов безопасности macOS он может легко обойти бдительность большинства пользователей. Образец также особенно искусно вводит в заблуждение — размер DMG-файла необычайно велик, он наполнен PDF-файлами, связанными с LibreOffice, в качестве прикрытия.

Уже есть пользователи, которые потеряли активы из-за этого. Пользователи macOS, не стоит недооценивать ситуацию, подумайте еще раз перед загрузкой приложения.