MacSync: il malware che sfrutta un annuncio sponsorizzato per colpire gli utenti Apple
MacSync è un serio pericolo per chi utilizza un dispositivo Apple con sistema operativo MacOS: può rubarti tutti i dati importanti, con conseguenze gravi.
I sistemi operativi macOS sono storicamente considerati più sicuri rispetto alla controparte (Windows), eppure le minacce informatiche dirette ai dispositivi Apple si stanno facendo sempre più sofisticate. In ultimo, proprio in questi giorni una campagna di malvertising è stata segnalata dai ricercatori di Jamf Threat Labs, pensata proprio per colpire la sicurezza dei Mac, sfruttando la popolarità dei social network.
In sostanza, i criminali informatici sono riusciti a diffondere un pericoloso programma spia che “accalappia” gli utenti attraverso un semplice annuncio sponsorizzato sulla piattaforma social X, spinti a scaricare sul proprio dispositivo il software malevolo.
La trappola su X
Questa campagna malevola si basa su una vera e propria trappola che fa leva su una delle funzioni grafiche più desiderate, ma non ancora integrate nativamente da Apple sui computer, ovvero la personalizzazione dello schermo per sfruttare la “tacchetta” dei MacBook.
La trappola consiste in un annuncio sponsorizzato condiviso su X che promuove una versione fittizia di DynamicLake, utility legittima e molto apprezzata, progettata per trasformare il notch dei MacBook in una barra interattiva simile alla Dynamic Island degli iPhone.
L’inserzione appare del tutto credibile agli occhi degli utenti (con tanto di account verificato dotato di spunta blu) ma, cliccando sul collegamento sponsorizzato, le vittime vengono reindirizzate su un portale contraffatto che clona fedelmente il sito ufficiale del vero sviluppatore dell’applicazione.
La tecnica ClickFix
Dopo aver abboccato all’esca e una volta giunti sul sito clone, i malcapitati utenti si trovano di fronte a finti messaggi di errore o a schermate di verifica umana che simulano un blocco temporaneo del download. Ed è qui che si mette in atto la truffa: per completare l’operazione, le vittime sono spinte a seguire delle istruzioni ben precise fino ad aprire l’applicazione Terminale del proprio Mac, incollandovi una specifica riga di comando.
Questa subdola tecnica di ingegneria sociale, nota come ClickFix, è estremamente pericolosa perché aggira i controlli nativi di macOS. È l’utente stesso a copiare, incollare ed eseguire manualmente il codice nel Terminale, dunque il meccanismo di sicurezza Gatekeeper di Apple interpreta l’operazione come un’azione sicura e voluta dall’amministratore del dispositivo, autorizzando così l’installazione del malware senza avvisi di blocco.
Cosa ruba il malware MacSync?
Una volta eseguito il comando nel Terminale, prende il via una catena d’infezione invisibile che scarica il payload finale dell’attacco. Gli esperti di Jamf Threat Labs hanno identificato questa minaccia come MacSync, una recente variante del già noto infostealer Atomic Stealer.
L’obiettivo primario di MacSync è il furto di enormi quantità di informazioni personali e finanziarie memorizzate sul dispositivo della vittima. Il malware si attiva in memoria, recupera le credenziali di accesso salvate e i cookie delle sessioni di navigazione da browser come Chrome, Firefox, Brave ed Edge, e non solo: è anche in grado di estrarre le password custodite nel Portachiavi di sistema di macOS, le chiavi d’accesso ai portafogli di criptovalute e i file di configurazione sensibili legati ad ambienti cloud come Amazon Web Services o Kubernetes.
Come difendersi?
Per evitare danni tanto gravi, possiamo adottare alcune semplici regole di “prudenza informatica”. Innanzitutto nessun produttore di software serio ci chiederà mai di eseguire comandi o script di codice all’interno del Terminale per installare una normale applicazione. Se ci chiedono passaggi di questo tipo, chiudiamo immediatamente la scheda di navigazione.
In secondo luogo, non fidiamoci ciecamente dei link sponsorizzati nei motori di ricerca o sui social network, anche se promossi da account verificati. Quando vogliamo scaricare un’applicazione o un’utility, cerchiamo manualmente il nome del software sul browser, verificando che l’indirizzo internet corrisponda a quello ufficiale dello sviluppatore.
