Publié le 24 décembre 2025 à 16h23. Une nouvelle variante du voleur d’informations macOS, baptisée MacSync, se propage via une application de messagerie frauduleuse signée numériquement, contournant ainsi les protections de sécurité d’Apple. Cette évolution témoigne d’une sophistication croissante des attaques ciblant les utilisateurs de Mac.
- Des chercheurs en cybersécurité ont identifié une nouvelle version de MacSync, un logiciel malveillant conçu pour voler des informations personnelles sur les ordinateurs Apple.
- Cette version se distingue par son utilisation d’une application Swift légitimement signée et notariée, ce qui lui permet de contourner les mécanismes de sécurité de macOS, notamment Gatekeeper.
- Les experts notent une évolution des tactiques utilisées par les attaquants, qui cherchent à rendre leurs logiciels malveillants plus discrets et difficiles à détecter.
Contrairement aux versions précédentes de MacSync Stealer, qui reposaient sur des méthodes plus directes comme le glisser-déposer de fichiers vers le terminal ou des attaques de type « cliquez pour réparer » (attaques de phishing ClickFix), cet échantillon adopte une approche plus subtile et moins intrusive, selon Thijs Xhaflaire, chercheur chez Jamf.
La nouvelle version est diffusée sous la forme d’une application Swift signée et notariée, emballée dans un fichier image disque (DMG) nommé « zk-call-messenger-installer-3.9.2-lts.dmg ». Ce fichier est hébergé sur le site « zkcall.[.]net/téléchargement ». La signature et la notarisation permettent à l’application de s’exécuter sans être bloquée par les contrôles de sécurité intégrés d’Apple, tels que Gatekeeper ou XProtect. Cependant, l’installateur invite toujours les utilisateurs à effectuer un clic droit et à ouvrir l’application, une tactique courante pour contourner ces protections. Apple a depuis révoqué le certificat de signature de code utilisé.
Une fois lancée, l’application Swift effectue une série de vérifications avant de télécharger et d’exécuter un script codé via un composant d’assistance. Ces vérifications incluent la connectivité Internet, l’application d’un intervalle d’exécution minimum d’environ 3 600 secondes (une heure) pour limiter le nombre de tentatives, la suppression des attributs de quarantaine et la validation du fichier avant son exécution.
Les chercheurs ont également observé des changements dans la commande curl utilisée pour récupérer la charge utile malveillante. Au lieu d’utiliser la combinaison courante d’options -fsSL, les attaquants ont divisé les indicateurs en -fL et -sS, et ajouté des options supplémentaires telles que –noproxy. Selon Thijs Xhaflaire,
« Ces changements, ainsi que l’utilisation de variables remplies dynamiquement, indiquent un changement délibéré dans la façon dont la charge utile est récupérée et validée, probablement visant à améliorer la fiabilité ou à échapper à la détection. »
Pour rendre l’attaque plus difficile à détecter, les attaquants ont également utilisé un fichier DMG inhabituellement volumineux, atteignant 25,5 Mo, en y incorporant des documents PDF sans rapport.
La charge utile décodée correspond à MacSync, une version renommée de Mac.c, un voleur d’informations apparu pour la première fois en avril 2025. Selon Moonlock Lab de MacPaw, MacSync est livré avec un agent Go complet qui permet non seulement le vol de données, mais aussi des capacités de commande et de contrôle à distance.
Il est important de noter que des fichiers DMG malveillants signés par code imitant Google Meet ont également été observés dans des attaques ciblant d’autres voleurs d’informations macOS, tels que Odyssée. Cependant, les attaquants continuent également d’utiliser des images disques non signées pour diffuser leurs attaques, comme le DigitStealer, diffusé le mois dernier.
Jamf souligne que
« Ce changement de distribution reflète une tendance plus large dans le paysage des logiciels malveillants macOS, où les attaquants tentent de plus en plus d’introduire leurs logiciels malveillants dans des exécutables signés et notariés, leur permettant de ressembler davantage à des applications légitimes. »
Sur le même sujet
