MacSync besteht aus Infostealer und Backdoor. Öffentliche iCloud-Kalendereinträge können Teil der Infektionskette sein.
Eine neue Variante des macOS-Infostealers MacSync hat es unter anderem auf Passwörter, Browser- und Wallet-Daten von mac-Nutzern abgesehen. Die von Kaspersky jetzt im September entdeckte neue Version der Malware tarnt sich als App zum Teilen von Dokumenten, als Krypto-Wallet-App oder andere App und verschafft Angreifern über eine Backdoor dauerhaften Zugriff auf das Gerät.
Die Experten von Kaspersky haben eine hochentwickelte, aktualisierte Version des macOS-Infostealers MacSync entdeckt. Die Malware tauchte in 2024/2025 erstmals als Variante des AMOS-Stealers auf. Der Angriff beginnt mit einer schädlichen Datei, die auf das Gerät des Nutzers gelangt. Häufig lädt dieser die Malware selbst herunter, weil sie als legitime Anwendung getarnt ist – etwa als App zur Dokumentenfreigabe oder als Krypto-Wallet. Anschließend folgen weitere schädliche Downloads und Manipulationen am System. In einigen Fällen stellen die Angreifer eine der benötigten Dateien über einen öffentlichen iCloud-Kalendereintrag im ics-Format bereit. Im Verlauf der Infektion werden schließlich die beiden Kernkomponenten von MacSync installiert: ein Infostealer und eine Backdoor.
Nach dem Start gibt sich der Infostealer als jene Anwendung aus, die der Nutzer ursprünglich herunterladen wollte, und fordert ihn zur Eingabe des Administratorpassworts auf. Sobald das Passwort eingegeben wurde, erscheint die Meldung, die App sei „beschädigt“ und solle in den Papierkorb verschoben werden. Dies dient als Ablenkung und soll den Nutzer über die bereits erfolgte Infektion hinwegtäuschen. Der Stealer erfasst unter anderem Browser-Daten wie den Verlauf, Cookies und gespeicherte Zugangsdaten. Darüber hinaus greift er auf Daten von Krypto-Wallet-Apps und Telegram, Anmeldeinformationen des Geräts sowie die Keychain-Datei zu. Außerdem sammelt er Informationen über installierte Anwendungen, das Gerätemodell und die Hardware sowie SSH- und ZSH-Konfigurationen und weitere Daten.
Die zweite Komponente von MacSync, die Backdoor, tarnt sich als legitime Finder-App und ermöglicht Angreifern den Fernzugriff auf das Gerät und die Daten des Nutzers. Über diese können sie manipulierte Browser-Add-ons installieren – vermutlich, um Erweiterungen für Krypto-Wallets durch schädliche Varianten zu ersetzen. Zudem können sie die legitime Ledger-Wallet-App gegen einen schädlichen Klon austauschen, Systeminformationen und ausgewählte Nutzerdateien erfassen sowie möglicherweise beliebigen Code ausführen.
„Die neue Version von MacSync unterscheidet sich erheblich von früheren Varianten. Sie verfügt über neue Funktionen und nutzt eine deutlich komplexere Infektionskette“, erklärt Sergey Puzan, Sicherheitsexperte bei Kaspersky. „Gleichzeitig entwickeln die Angreifer ihre Social-Engineering-Methoden kontinuierlich weiter, um sich Zugang zu den Geräten ihrer Opfer zu verschaffen. Bei der Installation neuer Anwendungen ist daher besondere Vorsicht geboten – vor allem, wenn der Entwickler unbekannt oder nicht vertrauenswürdig ist. Nutzer sollten stets prüfen, ob eine heruntergeladene oder installierte App tatsächlich vom ursprünglichen Entwickler stammt, und ihre Echtheit anhand vertrauenswürdiger Quellen verifizieren. Das Administratorpasswort schützt die sensibelsten Daten und Zugangsinformationen auf dem Gerät. Entsprechend aufmerksam sollten Nutzer sein, wenn eine Anwendung zur Eingabe dieses Passworts auffordert.“
Kaspersky-Tipps zum Schutz vor Cyberbedrohungen
- Updates für das Betriebssystem und Anwendungen zeitnah installieren, sobald sie verfügbar sind, da diese Sicherheitslücken schließen.
- Die Absenderadresse einer E-Mail auf Unstimmigkeiten prüfen. Verdächtig wirkende Adressen lassen sich über eine kurze Internetrecherche auf ihre Echtheit überprüfen.
- Links nicht vorschnell anklicken und die Schreibweise der Zieladresse kontrollieren – etwa eine „1“ anstelle des Buchstabens „l“ oder eine Null anstelle des „O“.
- Moderne Authentifizierungsmethoden wie Passkeys nutzen. Sie ermöglichen eine nahtlose Anmeldung mit nur einer Bestätigung auf allen Geräten und lassen sich sicher synchronisieren.
- Einen Passwort-Manager wie Kaspersky Password Manager [1] verwenden, der sämtliche Zugangsdaten in einem geschützten digitalen Tresor speichert, der mit einem einzigen Master-Passwort gesichert ist.
- Eine zuverlässige Sicherheitslösung wie Kaspersky Premium [2] einsetzen, die Echtzeitschutz vor Malware und Phishing bietet und den integrierten Schutz des Betriebssystems ergänzt. Im Jahr 2025 zeichnete AV-TEST Kaspersky Premium aufgrund durchgehend zuverlässiger Ergebnisse über ein vollständiges Testjahr als leistungsstärkste Sicherheitslösung für macOS aus [3].
[1] https://www.kaspersky.de/password-manager
[3] https://av-comparatives.org/tests/mac-security-test-review-2025/
Nützliche Links:
- Kaspersky Premium für Mac: https://www.kaspersky.de/mac-antivirus
- Kaspersky Password Manager: https://www.kaspersky.de/password-manager
