Исследователи из «Лаборатории Касперского» проанализировали новую версию инфостилера MacSync, нацеленного на macOS. Авторы вредоноса существенно изменили цепочку заражения, отказавшись от привычных AppleScript и шелл-скриптов в пользу бинарных дропперов и загрузчиков.

По данным специалистов, ключевое отличие новой версии — использование инфраструктуры iCloud на одном из этапов атаки. Это усложняет обнаружение вредоносной активности, поскольку трафик к сервисам Apple выглядит легитимным и редко вызывает подозрения у защитных решений.

Ранее MacSync распространялся преимущественно через скриптовые сценарии, которые легче выявлялись средствами мониторинга. Переход на бинарные компоненты заметно повышает требования к анализу: статический разбор таких файлов сложнее, а сама нагрузка лучше маскируется под обычные приложения.

Смена тактики укладывается в общий тренд: операторы macOS-малвари всё чаще отказываются от простых скриптов в пользу скомпилированных модулей. Использование облачных сервисов крупных вендоров как промежуточного звена тоже становится стандартной практикой для обхода сетевых фильтров.

Практических выводов пока два: пользователям macOS стоит внимательнее относиться к источникам загружаемых приложений, а защитным решениям придётся учитывать, что обращения к iCloud больше не гарантируют безопасность. О реакции Apple на описанную схему на момент публикации не сообщается.