Descoberta e técnica
Pesquisadores do Jamf Threat Labs identificaram uma nova iteração do stealer MacSync que se apresenta como aplicativo Swift legítimo, assinado e notarizado pela Apple. Ao usar um binário certificado, a amostra evita os avisos de “desenvolvedor não identificado” do macOS e reduz a probabilidade de rejeição automática pelo Gatekeeper.
O que mudou agora
Além da assinatura, os pesquisadores notaram duas alterações técnicas relevantes: a mudança para um app Swift devidamente notarizado e um grande disco de instalação (imagem de 25,5 MB), contraste com versões anteriores que operavam essencialmente em memória e com baixa pegada em disco. O aumento do artefato em disco sugere funcionalidades adicionais e componentes incorporados.
Vetor, alvos e capacidades
A campanha tem usado páginas de download que imitam plataformas de mensagens, com ênfase em interesses de usuários de apps como o zk-Call (serviço de chamadas/ mensageria com sede na Estônia), estratégia de engenharia social que eleva a taxa de instalação por usuários que buscam esse software.
- Funcionalidades observadas: instalação de backdoors, exfiltração de dados armazenados (incluindo dados de navegadores), busca por credenciais de carteiras de criptomoedas e manutenção de acesso persistente.
- Servidor de comando e controle identificado: focusgroovy[.]com, relacionado à distribuição de payloads adicionais; navegadores já sinalizaram o domínio por phishing.
Evidências, limites e hipóteses
Jamf descreve a amostra e os indicadores associados; a origem exata dos certificados de desenvolvedor não está confirmada. O relatório aponta caminhos plausíveis: roubo de certificados, contas de desenvolvedor comprometidas ou criação de entidades falsas com identidade fraudulenta para obtenção de certificados.
“A nova variante apresenta assinatura e notarização que a faz parecer um app de desenvolvedor verificado”, reportou Jamf Threat Labs.
Impacto e mitigação
Para equipes de segurança e CISO, o uso de assinatura legítima aumenta a complexidade da triagem em endpoints Apple. Controles recomendados:
- Bloquear instalações fora da App Store por política corporativa (quando aplicável) ou exigir whitelisting de certificados de desenvolvedor conhecidos.
- Monitorar execução de binários recém‑criados em disco e conexões para domínios associados (ex.: focusgroovy[.]com).
- Educar usuários sobre fontes de download e fortalecer processos de validação de software distribuído por canais informais.
O que falta
Ainda não há confirmação pública de como os atacantes obtiveram os certificados utilizados pela campanha, nem um panorama sobre quantas máquinas foram afetadas até agora. Jamf e outros fornecedores podem atualizar com artefatos e IoCs adicionais.
Resumo para operações
Trate aplicativos assinados como um possível vetor quando a origem não for explicitamente confiável; combine telemetria de endpoint com análise de cadeia de distribuição e reputação de domínios de C2. Para ambientes gerenciados, avalie políticas MDM que limitem a execução de apps assinados por desenvolvedores não aprovados.