MacSync 악성코드, 공개 iCloud 캘린더를 이용해 새로운 페이로드 배포

macOS 시스템을 노리는 정보탈취 악성코드 MacSync의 신규 변종이 공개 iCloud 캘린더 이벤트를 이용해 새로운 페이로드를 전달하는 것으로 확인됐다.

MacSync는 2025년 4월에 등장한 Swift 기반 악성코드로, 최근 Homebrew와 macOS 디스크 공간 분석 도구로 위장한 ClickFix 캠페인을 통해 배포되는 것이 관찰됐다.

Kaspersky 연구원들에 따르면, 초기 버전은 AMOS 스틸러 계열에서 파생됐지만 MacSync는 모듈 방식으로 새로운 기능을 추가하며 진화했다.

배포 체인

MacSync는 ClickFix 스타일 공격 등 소셜 엔지니어링을 통해, 또는 무료·크랙·신규 애플리케이션으로 위장한 소프트웨어를 통해 피해자에게 배포됐다.

연구원들은 위협 행위자가 전용 웹사이트를 갖추고 소셜 미디어를 통해 홍보한 'Toria'라는 가짜 암호화폐 지갑 형태로 악성코드를 배포했다고 밝혔다.

Kaspersky는 두 가지 배포 방식을 가진 MacSync 캠페인을 발견했다. 더 복잡한 방식에서는 다운로더가 공개 iCloud 캘린더 이벤트의 설명란에 숨겨진 명령을 가져온 뒤 iCloud에서 다음 단계 페이로드를 내려받는다.

다운로더는 가져온 캘린더 데이터를 macOS의 zsh 셸에 전달한다. 캘린더 텍스트 대부분은 오류를 발생시키지만, 이벤트의 DESCRIPTION: 줄 뒤에 삽입된 명령이 실행되어 악성코드 구성 요소가 담긴 아카이브를 내려받는다.

아카이브에는 드로퍼 역할을 하는 'APP' 번들이 포함되어 있으며, 여러 단계를 거쳐 최종적으로 MacSync 악성코드를 가져온다.

최신 MacSync 감염 체인

출처: Kaspersky

새로운 백도어 모듈

정보탈취 모듈은 크게 변경되지 않았으며, 브라우저 히스토리·쿠키·저장된 자격증명, 암호화폐 지갑 확장 프로그램 및 앱 데이터, Telegram 데이터, 키체인(Keychain) 파일, 시스템 및 기기 정보, SSH·AWS·Kubernetes·Git·셸 설정 파일 등을 탈취한다.

악성코드가 생성한 비밀번호 입력 프롬프트

출처: Kaspersky

새로 발견된 모듈은 macOS 기본 파일 관리자인 Finder로 위장한 Objective-C 백도어다. 설치 프로그램은 LaunchAgent, .zshrc 수정, 전역 Git 훅을 통해 지속성을 확보하며, macOS 알림 프로세스를 종료해 사용자에게 경고가 전달되지 않도록 한다.

백도어는 감염된 시스템에서 다음과 같은 동작을 수행할 수 있다:

• C2(명령제어) 서버로부터 전달받은 공격자 제공 AppleScript를 실행.
• C2 서버가 제공하는 버전으로 브라우저 확장 프로그램을 배포하거나 설치된 Ledger 지갑 앱을 교체.
• 추가 시스템 정보 및 파일을 수집해 C2 서버로 업로드.
• 재부팅 후에도 자동 실행되도록 지속성을 확인하고 설정.

Kaspersky는 실행될 AppleScript 코드를 확보하지 못해, 명령의 이름과 상태 메시지를 통해 용도를 추론했다.

연구원들은 또한 sn_relay라는 컴포넌트를 내려받아 실행하는 live_browser라는 "미확인" 명령도 식별했으나, Kaspersky는 그 목적을 파악하지 못했다.

MacSync가 계속 진화하며 더욱 은밀하고 효과적인 배포 방식을 채택함에 따라, macOS 사용자는 온라인에서 찾은 명령어를 그대로 실행하지 않도록 권고받고 있다.

또한 의심스러운 사이트에서 DMG 파일을 다운로드하지 않고, 관리자 비밀번호 입력 요구 팝업을 주의 깊게 확인하도록 권장된다.