Le nouveau logiciel malveillant Mac 'MacSync' vole des portefeuilles cryptographiques
La société de sécurité Blockchain SlowMist a mis en garde contre un nouveau voleur d'informations macOS hautement destructeur surnommé "MacSync Stealer" (v1.1.2).
La campagne active de logiciels malveillants cible spécifiquement les utilisateurs d’Apple pour vider les portefeuilles de crypto-monnaie et exfiltrer les informations d’identification d’infrastructure hautement sensibles.
Le mode opératoire
Des tactiques d’ingénierie sociale trompeuses sont utilisées par des acteurs malveillants pour contourner les défenses des utilisateurs.
Le malware utilise de fausses boîtes de dialogue système AppleScript qui imitent les invites légitimes de mot de passe macOS pour pirater les informations de connexion de l'utilisateur.
Le malware exfiltre silencieusement leurs données en arrière-plan une fois que la victime mord à l’hameçon. MacSync Stealer affiche un faux message d'erreur « non pris en charge » immédiatement après la fin de l'extraction des données afin de ne pas éveiller de soupçons. L'astuce donne l'impression que l'application n'a tout simplement pas réussi à se lancer.
Outre les utilisateurs de crypto-monnaie, le malware cible les informations d'identification du navigateur, les trousseaux du système macOS, les clés d'infrastructure critiques, notamment les informations d'identification SSH, AWS et Kubernetes (K8s).
Autres incidents liés à MacOS
Il ne s'agit pas d'un incident isolé. L'équipe de sécurité de Bybit vient de découvrir une campagne de malware ciblant les utilisateurs de macOS recherchant Claude Code.
Récemment, Microsoft Threat Intelligence a révélé une campagne macOS très ciblée orchestrée par « Sapphire Sleet », un acteur malveillant connu et parrainé par l'État nord-coréen. Sapphire Sleet utilise une ingénierie sociale avancée pour usurper l'identité des mises à jour logicielles macOS légitimes et voler des portefeuilles de crypto-monnaie.
Il convient également de mentionner le malware « Infinity Stealer », qui a démontré comment les méthodes d'attaque centrées sur Windows sont adaptées pour macOS. Il utilise la technique « ClickFix » pour présenter aux victimes une fausse page CAPTCHA. La société de cybersécurité SOC Prime a également identifié « MioLab », qui est un voleur d'informations macOS distribué commercialement, explicitement conçu pour cibler les victimes de grande valeur, y compris les détenteurs de crypto.