MacSync-skadlig kod använder offentliga iCloud-kalendrar för att leverera skadliga payloads

En ny kampanj med MacSync-skadlig kod använder offentliga iCloud-kalenderhändelser som en del av sin infektionskedja, enligt forskare på Kaspersky. Kommandon som döljs i beskrivningen av en händelse instruerar ett nedladdningsprogram att hämta fler skadliga komponenter från iCloud.

Kalenderhändelse döljer nedladdningskommandon

MacSync riktar in sig på macOS-användare genom vilseledande nedladdningar och social manipulation. Forskare har sett den presenteras som gratis eller knäckt programvara samt som en falsk kryptovalutaplånbok kallad Toria.

Kaspersky identifierade två leveransmetoder i en nyligen genomförd kampanj. I den mer komplexa metoden hämtar ett nedladdningsprogram innehållet i en offentlig iCloud-kalenderhändelse och skickar dessa data till Mac-datorns zsh-skal.

Det mesta av texten i händelsen genererar fel. Kommandon som placeras efter händelsens DESCRIPTION:-rad körs dock och hämtar ett arkiv från iCloud. Arkivet innehåller ett app-paket som startar en serie installationssteg. Dessa steg levererar slutligen MacSync.

Informationsstjälare riktar in sig på inloggningsuppgifter och filer

Den informationsstjälande komponenten är i stort sett lik tidigare versioner. Den söker efter webbläsarhistorik, cookies och sparade inloggningsuppgifter samt data från kryptovalutaplånböcker och Telegram-filer.

Den riktar också in sig på macOS Keychain-filen, systeminformation och filer kopplade till SSH, AWS, Kubernetes och Git. Den skadliga koden kan visa egna lösenordsuppmaningar för att försöka få ytterligare åtkomst.

Ny bakdörr lägger till fjärrfunktioner

Kaspersky hittade en ny bakdörrsmodul skriven i Objective-C. Den utger sig för att vara Finder och använder flera metoder för att starta om efter en omstart, inklusive en LaunchAgent och ändringar i skalkonfigurationen.

Installationsprogrammet avslutar också macOS aviseringsprocesser, vilket kan hindra användare från att se varningar. Enligt forskarna kan bakdörren ta emot instruktioner från sin kontrollserver, samla in filer och systeminformation samt ladda upp dessa data.

Vissa kommandonamn tyder på att den kan distribuera ett webbläsartillägg eller ersätta en Ledger-plånboksapp. Kaspersky kunde inte granska AppleScript-koden bakom dessa kommandon och kunde därför inte bekräfta exakt hur de fungerar. Forskarna hittade också en annan nedladdad komponent vars syfte fortfarande är okänt.

Mac-användare bör kontrollera oväntade nedladdningar

Den kalenderbaserade leveransmetoden ger MacSync-skadlig kod ytterligare ett sätt att hämta sina komponenter. Mac-användare bör undvika att köra kommandon som tillhandahålls av webbplatser eller oväntade uppmaningar. De bör också vara försiktiga med programvarunedladdningar från okända webbplatser och förfrågningar om ett administratörslösenord.