برمجية MacSync خبيثة جديدة تتجاوز حماية macOS Gatekeeper لسرقة العملات المشفرة

تستهدف نسخة جديدة من برمجية MacSync الخبيثة مستخدمي نظام macOS بشكل نشط. ويحذر باحثو الأمن من أنها قادرة على تجاوز آليات الحماية المدمجة لدى آبل. كما يمكنها سرقة بيانات حساسة، بما في ذلك محافظ العملات المشفرة. وجاء التحذير من شركة SlowMist، بعد أن أفاد رئيس أمن المعلومات فيها بأن بعض المستخدمين تكبدوا بالفعل خسائر في أصولهم. وتشير هذه البرمجية إلى تحول في مستوى تعقيد التهديدات التي تستهدف macOS. وعلى عكس الإصدارات السابقة، تتمكن هذه النسخة من الإفلات من الرصد مع ظهورها كنشاط شرعي للنظام.

كيف تتجاوز البرمجية الخبيثة أنظمة أمان macOS

تستطيع النسخة الجديدة من MacSync تجاوز نظام Gatekeeper في macOS، وهو النظام المصمم لمنع تشغيل التطبيقات غير الموثوقة. ووفقاً للباحثين، تستخدم البرمجية مجموعة من التقنيات المتدرجة لتفادي الاكتشاف. وتشمل هذه الأساليب تضخيم الملفات لإخفاء الشيفرة الخبيثة، إلى جانب التحقق عبر الشبكة من بيئة التشغيل، ونصوص تدمير ذاتي تزيل الآثار بعد التنفيذ.

ونتيجة لذلك، تترك البرمجية في كثير من الأحيان أدلة محدودة جداً على القرص. وبعد تنفيذها، تستهدف بيانات شديدة الحساسية، تشمل سلاسل مفاتيح iCloud، وكلمات المرور المخزنة في المتصفحات، وملفات محافظ العملات المشفرة. وفي حالات عديدة، يحصل المهاجمون على وصول كامل قبل أن يدرك المستخدمون وجود أي خلل.

التحول إلى برمجيات موقعة رقمياً يرفع مستوى المخاطر

يُظهر تحليل إضافي من مختبرات Jamf Threat Labs أن البرمجية طورت أسلوب التوزيع الخاص بها. فقد اعتمدت الإصدارات السابقة من MacSync على حيل الهندسة الاجتماعية، مثل أوامر السحب إلى الطرفية أو تنفيذ النصوص البرمجية يدوياً. أما النسخة الجديدة، فتصل على شكل تطبيق Swift موقّع وموثق رسمياً. ويتم توزيعها داخل ملفات صور أقراص تبدو كمثبتات شرعية، ما يسمح لها باجتياز فحوص macOS الأولية دون إطلاق تحذيرات.

وبعد التشغيل، يقوم التطبيق بهدوء بتنزيل وتنفيذ حمولة المرحلة الثانية. ويجري جزء كبير من هذا النشاط في الذاكرة، ما يقلل فرص اكتشافه عبر أدوات مكافحة الفيروسات التقليدية. ويقول الباحثون إن ذلك يعكس توجهاً أوسع، حيث تعتمد المزيد من برمجيات macOS الخبيثة على ملفات تنفيذية موقعة وموثقة للظهور بمظهر موثوق وتأخير اكتشافها.

محافظ العملات المشفرة تبقى الهدف الرئيسي

يبرز تركيز البرمجية على محافظ العملات المشفرة تصاعد المخاطر التي يواجهها حاملو الأصول الرقمية. فعند استخراج المفاتيح الخاصة أو بيانات الاستعادة، تكون الأموال المسروقة في العادة غير قابلة للاسترجاع. وتشير التقارير إلى أن بعض المستخدمين المتأثرين فقدوا عملات مشفرة بعد وقت قصير من الإصابة. ولم تظهر مؤشرات على معاملات قسرية أو اختراقات لمنصات تداول. وبدلاً من ذلك، وصل المهاجمون مباشرة إلى المحافظ عبر الأجهزة المخترقة. ويحذر خبراء الأمن من أن مستخدمي العملات المشفرة معرضون بشكل خاص، إذ يقوم كثيرون بتخزين المحافظ وإضافات المتصفحات وبيانات الاعتماد على أجهزة شخصية دون وسائل حماية إضافية.

ما الذي يجب على المستخدمين فعله الآن

حثت SlowMist مستخدمي macOS على تجنب تنزيل البرامج أو الإضافات من مصادر غير معروفة. فحتى المثبتات التي تبدو شرعية قد تنطوي على مخاطر خفية. ويوصي الخبراء أيضاً بتفعيل أدوات الحماية المتقدمة من التهديدات، مع الحفاظ على تحديث الأنظمة، وتخزين الأصول المشفرة في محافظ أجهزة متخصصة متى أمكن ذلك. وينبغي التعامل بحذر مع أي مثبت غير متوقع أو طلب أمني مفاجئ. ومع تطور أساليب الهجوم، لم يعد macOS بيئة منخفضة المخاطر. وتُظهر حالة MacSync أن حتى وسائل الحماية المدمجة يمكن تجاوزها. وبالنسبة لحاملي العملات المشفرة، تبقى اليقظة أمراً أساسياً.