MacSync change de méthode : le voleur de données vise développeurs et détenteurs de cryptomonnaies

Kaspersky a publié le 24 septembre l’analyse d’une nouvelle version de MacSync, un voleur de données pour Mac apparu en 2025 sur des forums clandestins sous le nom « Mac.c », avant d’être rebaptisé. Cette mouture, repérée en septembre, change en profondeur de méthode. Comme souvent avec ce type de logiciel malveillant, aucune faille de macOS n’est en jeu : pas de référence CVE, pas de correctif à installer. L’infection commence quand la victime installe elle-même une application piégée.

L’appât : un portefeuille qui n’existe pas

Le cas le plus détaillé par les chercheurs est celui de « Toria », un portefeuille de cryptomonnaies fictif doté de son propre site web et promu sur X et Telegram. MacSync circule aussi sous la forme de versions « crackées » ou gratuites de logiciels connus, et sur des domaines qui imitent des services comme Slack ou StreamYard. Les cibles affichées sont les développeurs, les amateurs de cryptomonnaies et les professionnels de l’informatique, dont les machines donnent souvent accès à des systèmes d’entreprise.

Ce qui change dans cette version

• Des programmes compilés plutôt que des scripts. Les étapes qui reposaient sur AppleScript sont remplacées par de véritables exécutables écrits en Swift et en Objective-C, plus difficiles à analyser.
• L’infrastructure d’Apple détournée. Dans au moins un échantillon, l’étape suivante est récupérée depuis un calendrier iCloud public : les commandes se cachent dans la description d’un événement, et une archive est téléchargée depuis iCloud. Il ne s’agit pas d’une faille d’iCloud, mais d’un usage abusif d’un service légitime, plus discret qu’un serveur suspect.
• La quarantaine retirée. Le programme supprime lui-même l’attribut de quarantaine que macOS appose aux fichiers téléchargés, puis signe localement les applications qu’il récupère.
• Un contrôle du mot de passe plus discret. La fausse fenêtre qui réclame le mot de passe administrateur, maquillée aux couleurs de l’application imitée, vérifie la saisie par l’interface PAM plutôt que par l’outil dscl, une technique apparue en juillet 2026 dans la famille PamStealer.
• Des précautions contre l’analyse. Détection des machines virtuelles et blocage des débogueurs.

Ce qui est volé

La liste est longue : historique, cookies, identifiants et mots de passe enregistrés dans les navigateurs ; données des extensions et des applications de portefeuilles de cryptomonnaies ; données de Telegram ; mot de passe de session ; fichier du trousseau ; inventaire du système ; fichiers de configuration SSH, AWS, Kubernetes ou Git ; historique du shell. Les données sont regroupées dans un dossier temporaire caché, puis envoyées par blocs de 90 Mo.

À lire aussi : Faux installateur Zoom : la porte dérobée CloudSyncD vise les Mac

Une porte dérobée déguisée en Finder

MacSync installe aussi une porte dérobée qui se fait passer pour le Finder. Kaspersky décrit plusieurs points d’ancrage, utiles pour qui veut vérifier sa machine :

• un dossier System créé dans ~/Library/Application Support ;
• un agent de lancement nommé com.apple.finder.agent ;
• une ligne ajoutée au fichier .zshrc, qui relance un script de réparation à chaque ouverture du Terminal ;
• des crochets Git globaux (pre-commit et post-checkout) qui font de même.

Le script de réparation restaure les fichiers supprimés et met fin aux processus de macOS chargés d’avertir l’utilisateur qu’un élément d’arrière-plan a été ajouté. Sur ordre, la porte dérobée peut installer une extension de navigateur, remplacer l’application du portefeuille Ledger ou relancer la collecte.

Se protéger

1. N’installez des applications que depuis l’App Store ou le site officiel de leur éditeur, et jamais de version « crackée ».
2. Avant d’installer un portefeuille de cryptomonnaies, vérifiez son existence et sa réputation auprès de sources indépendantes ; ne suivez pas un lien vu sur un réseau social.
3. Refusez toute demande de mot de passe administrateur venant d’une application qui n’a aucune raison d’en avoir besoin.
4. Passez régulièrement en revue Réglages Système › Général › Ouverture et extensions : un élément inconnu doit vous alerter, même sans notification.
5. Gardez macOS à jour (Réglages Système › Général › Mise à jour de logiciels) pour bénéficier des dernières protections intégrées.

Si vous pensez être touché

1. Coupez le Wi-Fi et débranchez le réseau.
2. Depuis un appareil sain, changez vos mots de passe, en commençant par la messagerie, et déconnectez partout les sessions ouvertes : des cookies volés suffisent à les réutiliser.
3. Si un portefeuille de cryptomonnaies était installé, considérez sa phrase de récupération comme compromise.
4. Si vous développez, révoquez et régénérez vos clés SSH, jetons d’accès et identifiants de services cloud.
5. Effacez le Mac, réinstallez macOS, puis restaurez vos documents depuis une sauvegarde antérieure à l’infection, sans les applications.

Les ressorts sont les mêmes que ceux de l’arnaque ClickFix, qui pousse la victime à lancer elle-même le logiciel malveillant.

Sources

• Kaspersky Securelist : A new version of the MacSync macOS stealer (24 septembre 2026)
• Help Net Security : MacSync info-stealing malware hides malicious commands in an iCloud calendar (25 septembre 2026)
• Photo d’illustration : Open lock on laptop (49919519837), Yuri Samoilov, CC BY 2.0, via Wikimedia Commons

Cet article a été préparé avec l’assistance d’une intelligence artificielle, à partir des sources citées.