Когда интерпретатор zsh получает на стандартный вход файл iCloud-календаря, он послушно пытается выполнить каждую строку. BEGIN:VCALENDAR – ошибка. VERSION:2.0 – ошибка. PRODID: – ошибка. Добравшись до поля DESCRIPTION:, zsh находит валидные shell-команды и молча исполняет их. На этом трюке построена одна из двух веток заражения новой версии MacSync – стилера для macOS, который за год прошёл путь от AppleScript-клона AMOS до шестистадийной бинарной цепочки с собственным криптопротоколом на Curve25519, тройной персистенцией через LaunchAgent, .zshrc и git-хуки, а также полноценным бэкдором на Objective-C.
MacSync впервые появился на даркнет-площадках в 2025 году под именем Mac.c, позже был переименован создателями и продаётся по модели MaaS – malware-as-a-service. Ранние версии представляли собой обфусцированные AppleScript'ы и мало отличались от семейства AMOS. Версия, зафиксированная в дикой природе в сентябре 2026 года, – другое поколение: дропперы и загрузчик переписаны на нативный код, стилер – на Swift, бэкдор – на Objective-C, а доставка нагрузки проходит через инфраструктуру Apple.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local