En el momento en que los investigadores lo encontraron, Apple aún no había revocado el certificado, lo que significaba que el malware podía instalarse sin activar alertas. El archivo de imagen de disco es inusualmente grande, con 25,5 MB, porque contiene archivos PDF falsos relacionados con LibreOffice para que parezca más legítimo. Cuando se subió a VirusTotal, algunos motores antivirus lo detectaron como un descargador genérico vinculado a las familias de malware coins u ooiid. Los analistas de Jamf identificaron este malware mientras revisaban sus sistemas de detección en busca de actividades inusuales. Observaron que el malware no seguía los patrones típicos que se ven en las campañas anteriores de MacSync, que generalmente dependían de las técnicas de arrastrar y soltar a la terminal o ClickFix. Este nuevo enfoque elimina la necesidad de interacción del usuario con Terminal, lo que dificulta mucho que las víctimas se den cuenta de que están siendo atacadas. Después de confirmar la amenaza, Jamf Threat Labs informó el ID de equipo de desarrollador malicioso a Apple, y el certificado ha sido revocado desde entonces.

Ejecución y Entrega de la Carga Útil Basada en Swift

El malware utiliza un programa auxiliar construido con Swift llamado runtimectl que maneja todo el proceso de infección. Cuando se inicia el programa, comprueba si el ordenador tiene conexión a Internet utilizando la función checkInternet(). Si está conectado, procede a descargar la carga útil de segunda etapa de hxxps://gatemaden[.]space/curl/985683bd660c0c47c6be513a2d1f0a554d52d241714bb17fb18ab0d0f8cc2dc6 utilizando un comando curl. El script se guarda en /tmp/runner y luego se comprueba para asegurarse de que es un script de shell válido ejecutando /usr/bin/file –mime-type -b para confirmar que coincide con text/x-shellscript. Antes de ejecutar la carga útil, el malware elimina la bandera com.apple.quarantine utilizando removeQuarantine(at:) y establece los permisos de archivo en 750 para que sea ejecutable. También crea archivos de registro en ~/Library/Logs/UserSyncWorker.log y archivos de seguimiento en ~/Library/Application Support/UserSyncWorker/ para registrar la actividad y evitar que el malware se ejecute con demasiada frecuencia. Un mecanismo de limitación de velocidad asegura que el malware solo se ejecute una vez cada 3600 segundos. Después de que se ejecuta el script, el archivo /tmp/runner se elimina para eliminar rastros del sistema, y el malware se conecta a focusgroovy[.]com para descargar cargas útiles adicionales y comunicarse con su servidor de comando y control.


Fuentes:
https://cybersecuritynews.com/new-macsync-stealer-malware/