Eater
Een gloednieuwe variant van de MacSync-malware verspreidt zich via een ogenschijnlijk betrouwbare app en weet probleemloos de beveiligingscontroles van Apple te omzeilen.
Beveiligingsonderzoekers van Jamf, een platform dat gespecialiseerd is in het beheer van Apple-apparaten, ontdekten dat deze malware wordt geleverd als een digitaal ondertekende Swift-applicatie, goedgekeurd door Apple zelf. Daardoor slaagt de malware erin de Gatekeeper – de ingebouwde beveiligingslaag van macOS – te omzeilen, iets wat bij eerdere versies niet lukte. Deze nieuwe evolutie van MacSync toont aan dat ook macOS steeds vaker doelwit wordt van slimme en goed doordachte cyberaanvallen.
Volgens Jamf is deze ontwikkeling duidelijk een stap vooruit in de werkwijze van aanvallers. Waar oudere versies van MacSync werkten met eenvoudige trucs, zoals het laten uitvoeren van handmatige Terminal-commando’s door gebruikers, is dat bij de nieuwste variant niet meer nodig. De malware zit nu verstopt in een schijfkopiebestand met de naam zk-call-messenger-installer-3.9.2-lts.dmg, dat aangeboden wordt via een betrouwbaar uitziende downloadpagina.
Apple-controles succesvol omzeild
De analyse toonde aan dat het bestand correct digitaal ondertekend was en beschikte over een geldig Apple-notarisatielabel. Gatekeeper zag hierdoor geen reden om de app te blokkeren. De digitale handtekening was gekoppeld aan een ontwikkelaarsaccount met Team ID GNJLS3UYZ4.
Pas nadat Jamf Apple rechtstreeks op de hoogte bracht, werd het gebruikte certificaat ingetrokken. Op het moment dat de malware actief werd verspreid, kon de dreiging echter ongemerkt worden uitgevoerd op systemen met een up-to-date macOS-versie. Eenmaal gestart fungeert de app als een zogenaamde ‘dropper’. De eigenlijke malware zit gecodeerd in het pakket en wordt pas na decodering actief. Deze techniek maakt het voor beveiligingssoftware lastiger om de dreiging direct te herkennen.
Gericht op detectie-ontwijking
De onderzoekers ontdekten meerdere slimme methoden om detectie te vermijden. Zo werd het installatiebestand kunstmatig opgeblazen tot meer dan 25 MB door onschuldige pdf-bestanden toe te voegen. Bovendien wist de malware sporen van zichzelf te verwijderen via scripts en controleert ze vooraf of er een actieve internetverbinding is – een klassieke methode om sandbox-omgevingen van beveiligingsbedrijven te ontlopen.
MacSync dook voor het eerst op in april 2025, onder de naam Mac.C, en wordt toegeschreven aan een bedreigingsactor die zichzelf ‘Mentalpositive’ noemt. Tegen de zomer werd de malware wijdverspreid en voegde zij zich bij andere macOS-gerichte stealers zoals AMOS en Odyssey. Uit eerdere onderzoeken blijkt dat MacSync onder andere in staat is iCloud-sleutelhangers, browserwachtwoorden, systeeminformatie, cryptowallets en lokale bestanden te stelen.
Opvallend is dat de maker van de malware in een interview in september al aangaf dat Apples strengere notarisatievereisten vanaf macOS 10.14.5 een grote invloed hadden op zijn ontwikkelstrategie. De nieuwste variant lijkt hiervan het rechtstreekse gevolg: malware die zich steeds beter voordoet als legitieme software.
Deze ontdekking benadrukt opnieuw dat macOS geen onkwetsbaar bastion is op het gebied van beveiliging, en dat de doorgaans strenge controles van Apple zeker niet onfeilbaar zijn.
