Gần đây, cộng đồng an toàn đã chia sẻ một cảnh báo quan trọng: phần mềm độc hại MacSync Stealer hoạt động trên nền tảng macOS đã hoàn thành một lần nâng cấp kỹ thuật khá kín đáo.

Từ những phương pháp "kéo thả vào thiết bị" và "ClickFix" ở giai đoạn đầu, lần này đã tiến hóa thành ứng dụng Swift với chữ ký mã và được công nhận bởi Apple (notarized) một cách chính thức. Nó trông giống như một phần mềm chính hãng, vì nó đã nhận được "độ tin cậy" cao hơn dưới sự bảo vệ của hệ thống Apple - đây mới chính là điều nguy hiểm nhất.

Thậm chí, cách lây lan của phần mềm độc hại cũng trở nên thông minh hơn. Phần mềm độc hại đã hóa thân thành tệp zk-call-messenger-installer-3.9.2-lts.dmg để lan truyền, ngụy trang thành công cụ nhắn tin tức thì để thu hút bạn tải về. Hơn nữa, phiên bản mới đặc biệt xảo quyệt - hoàn toàn không cần người dùng gõ lệnh trong terminal, tất cả công việc bẩn đều được thực hiện bởi chương trình hỗ trợ Swift tích hợp sẵn, trực tiếp kéo tập lệnh từ máy chủ từ xa để thực hiện, hoàn thành việc đánh cắp dữ liệu.

Các nhà nghiên cứu an ninh chỉ ra rằng ID nhóm phát triển của mẫu này là GNJLS3UYZ4, và hàm băm liên quan vẫn chưa bị Apple thu hồi. Điều này có nghĩa là dưới cơ chế an ninh mặc định của macOS, nó có thể dễ dàng vượt qua sự cảnh giác của hầu hết người dùng. Mẫu này còn đặc biệt sử dụng chiêu trò - tệp DMG có kích thước bất thường lớn, bên trong chứa đầy các tệp PDF liên quan đến LibreOffice làm lớp ngụy trang.

Đã có người dùng mất tài sản vì điều này. Người dùng macOS vẫn nên cẩn thận, hãy suy nghĩ thêm một giây khi tải ứng dụng.