MacSync для macOS: вредонос использует публичные календари iCloud для загрузки компонентов

Исследователи обнаружили новую схему распространения MacSync — стилера для macOS, который на одном из этапов получает команды из описания события в публичном календаре iCloud, а затем загружает следующий компонент через инфраструктуру Apple. Вредонос маскируется под обычные приложения, а в одной из кампаний его продвигали через фейковый криптокошелёк Toria.

MacSync собирает данные браузеров, криптокошельков, Keychain, SSH, AWS, Kubernetes и Git, а затем отправляет их атакующим. В новой версии злоумышленники также используют отдельный бэкдор, который выдает себя за Finder и умеет выполнять команды по HTTP.

@forgeeks | @forgeeksflash