新型MacSync惡意軟件投放器成功規避macOS Gatekeeper檢測

針對macOS系統的MacSync信息竊取惡意軟件最新變種，正通過經數字簽名且過公證的Swift應用進行傳播。

蘋果設備管理平臺的安全研究人員指出，與以往采用“拖放至終端”或ClickFix等較低級手段的版本相比，此次傳播方式有了顯著升級。

該惡意軟件以經過代碼簽名和公證的Swift應用形式，封裝在名為zk-call-messenger-installer-3.9.2-lts.dmg的磁盤鏡像文件中，通過https://zkcall.net/download網站分發，無需用戶與終端進行任何直接交互。

有效的數字簽名和公證

研究人員在分析之時，這款MacSync最新變種持有有效的簽名，能夠繞過macOS系統的安全機制——Gatekeeper的檢測。

安全研究員對這一通用架構的Mach-O二進制文件進行檢查后確認，它既經過代碼簽名，也完成了Apple公證，其簽名與開發者團隊ID GNJLS3UYZ4相關聯。不過，在研究人員將該證書直接上報Apple公司后，該證書現已被吊銷。

該惡意軟件通過編碼形式的“投放器”植入目標系統。研究人員對載荷解碼后，發現了MacSync信息竊取惡意軟件的典型特征。

解混淆后的載荷

研究人員還指出，這款竊取軟件具備多種規避檢測的機制，包括：嵌入誘餌PDF文件將DMG鏡像文件大小膨脹至25.5MB、清除執行鏈中使用的腳本，以及在執行前進行網絡連接檢測以規避沙箱環境。

膨脹后的磁盤鏡像文件內容

MacSync信息竊取軟件于2025年4月由名為“Mentalpositive”的黑客以“Mac.C”的名稱推出，同年7月開始廣泛傳播，與AMOS、Odyssey等惡意軟件一同躋身macOS竊取類惡意軟件領域——該領域雖不像其他惡意軟件領域那樣擁擠，但仍具備較高獲利空間。

此前MacPaw Moonlock對Mac.C的分析顯示，該惡意軟件可竊取iCloud鑰匙串憑證、瀏覽器中存儲的密碼、系統元數據、加密貨幣錢包數據，以及文件系統中的各類文件。

值得關注的是，在2025年9月Mentalpositive接受研究員采訪時提到，macOS 10.14.5及后續版本中更嚴格的應用公證政策，對其開發計劃影響最大——這一點也體現在目前發現的惡意軟件最新版本中。

參考及來源：https://www.bleepingcomputer.com/news/security/new-macsync-malware-dropper-evades-macos-gatekeeper-checks/