針對(duì)macOS系統(tǒng)的MacSync信息竊取惡意軟件最新變種，正通過(guò)經(jīng)數(shù)字簽名且過(guò)公證的Swift應(yīng)用進(jìn)行傳播。

蘋(píng)果設(shè)備管理平臺(tái)的安全研究人員指出，與以往采用“拖放至終端”或ClickFix等較低級(jí)手段的版本相比，此次傳播方式有了顯著升級(jí)。

該惡意軟件以經(jīng)過(guò)代碼簽名和公證的Swift應(yīng)用形式，封裝在名為zk-call-messenger-installer-3.9.2-lts.dmg的磁盤(pán)鏡像文件中，通過(guò)https://zkcall.net/download網(wǎng)站分發(fā)，無(wú)需用戶與終端進(jìn)行任何直接交互。

有效的數(shù)字簽名和公證

研究人員在分析之時(shí)，這款MacSync最新變種持有有效的簽名，能夠繞過(guò)macOS系統(tǒng)的安全機(jī)制——Gatekeeper的檢測(cè)。

安全研究員對(duì)這一通用架構(gòu)的Mach-O二進(jìn)制文件進(jìn)行檢查后確認(rèn)，它既經(jīng)過(guò)代碼簽名，也完成了Apple公證，其簽名與開(kāi)發(fā)者團(tuán)隊(duì)ID GNJLS3UYZ4相關(guān)聯(lián)。不過(guò)，在研究人員將該證書(shū)直接上報(bào)Apple公司后，該證書(shū)現(xiàn)已被吊銷。

該惡意軟件通過(guò)編碼形式的“投放器”植入目標(biāo)系統(tǒng)。研究人員對(duì)載荷解碼后，發(fā)現(xiàn)了MacSync信息竊取惡意軟件的典型特征。

解混淆后的載荷

研究人員還指出，這款竊取軟件具備多種規(guī)避檢測(cè)的機(jī)制，包括：嵌入誘餌PDF文件將DMG鏡像文件大小膨脹至25.5MB、清除執(zhí)行鏈中使用的腳本，以及在執(zhí)行前進(jìn)行網(wǎng)絡(luò)連接檢測(cè)以規(guī)避沙箱環(huán)境。

膨脹后的磁盤(pán)鏡像文件內(nèi)容

MacSync信息竊取軟件于2025年4月由名為“Mentalpositive”的黑客以“Mac.C”的名稱推出，同年7月開(kāi)始廣泛傳播，與AMOS、Odyssey等惡意軟件一同躋身macOS竊取類惡意軟件領(lǐng)域——該領(lǐng)域雖不像其他惡意軟件領(lǐng)域那樣擁擠，但仍具備較高獲利空間。

此前MacPaw Moonlock對(duì)Mac.C的分析顯示，該惡意軟件可竊取iCloud鑰匙串憑證、瀏覽器中存儲(chǔ)的密碼、系統(tǒng)元數(shù)據(jù)、加密貨幣錢包數(shù)據(jù)，以及文件系統(tǒng)中的各類文件。

值得關(guān)注的是，在2025年9月Mentalpositive接受研究員采訪時(shí)提到，macOS 10.14.5及后續(xù)版本中更嚴(yán)格的應(yīng)用公證政策，對(duì)其開(kāi)發(fā)計(jì)劃影響最大——這一點(diǎn)也體現(xiàn)在目前發(fā)現(xiàn)的惡意軟件最新版本中。

參考及來(lái)源：https://www.bleepingcomputer.com/news/security/new-macsync-malware-dropper-evades-macos-gatekeeper-checks/