MacSync 인포스틸러, iCloud 캘린더 이벤트에 악성 명령어 은닉

한 줄 요약

MacSync는 Mac 사용자를 노리는 정보 탈취형 악성코드(인포스틸러)로, 2025년 처음 등장한 뒤 2026년 9월 대폭 업그레이드된 새 버전이 발견됐습니다. 이번 변종은 가짜 암호화폐 지갑 앱 'Toria'로 위장해 배포되며, Apple의 iCloud 캘린더 파일 안에 악성 명령어를 숨기는 새로운 방식을 사용해 탐지를 피합니다. 감염되면 브라우저 저장 비밀번호·쿠키, 암호화폐 지갑 데이터, macOS 키체인(Keychain) 파일, SSH·AWS·Git 설정 파일 등 민감 정보가 광범위하게 유출됩니다. 또한 백도어(원격에서 시스템을 몰래 제어하는 악성 프로그램)가 함께 설치되어 공격자가 브라우저 트래픽을 가로채거나 추가 악성 파일을 배포할 수 있습니다. 개발자와 암호화폐 사용자를 주요 표적으로 삼고 있어 기업 내부망 침투로 이어질 위험이 높습니다.

사건

카스퍼스키(Kaspersky)가 2026년 9월 MacSync 인포스틸러의 신규 변종을 발견했다. 가짜 암호화폐 지갑 앱 Toria를 통해 배포되며, iCloud 캘린더 파일에 악성 명령어를 삽입하는 방식으로 Apple 인프라를 악용한다.

영향

브라우저 비밀번호·쿠키·방문 기록, 암호화폐 지갑 데이터, macOS Keychain 파일, SSH·AWS·Kubernetes·Git 설정 파일, Telegram 데이터, 기기 계정 정보 등이 탈취된다. 백도어는 Finder로 위장해 지속적으로 실행되며 브라우저 트래픽 도감청, 가짜 Ledger 앱 교체 등 추가 공격을 가능하게 한다.

원인

Swift·Objective-C로 작성된 바이너리 드로퍼와 로더로 구성된 다단계 감염 체인을 사용한다. Apple iCloud 캘린더를 중간 전달 경로로 악용하고, PAM(Pluggable Authentication Modules) API를 이용한 신규 비밀번호 탈취 기법을 채택해 기존 보안 탐지를 우회한다.

대응

카스퍼스키가 해당 악성코드를 분석·공개했다. 현재 공식 패치는 없으며, 출처 불명의 DMG 파일 설치 금지, 앱 다운로드 시 공식 App Store 또는 검증된 경로 이용, 엔드포인트 보안 솔루션 최신화가 권고된다.

실무 포인트

개발자 PC가 감염되면 Git 훅(hook)과 SSH 키 탈취를 통해 코드 저장소 및 사내 시스템으로 침투 범위가 확대될 수 있다. 암호화폐 관련 업무를 다루는 임직원 기기에 대한 집중 모니터링과, X·Telegram 등 SNS를 통해 홍보되는 미검증 앱 설치 차단 정책 수립이 필요하다.

본문

카스퍼스키(Kaspersky)에 따르면, MacSync의 신규 변종이 Mac 사용자를 표적으로 인포스틸러와 지속형 백도어를 함께 설치하며 자격증명, 암호화폐 지갑 데이터, 파일을 탈취하는 것으로 확인됐다.

연구원들은 해당 악성코드가 Toria라는 암호화폐 지갑 앱을 통해 확산되는 것을 발견했다. Toria는 자체 웹사이트를 갖추고 X와 Telegram을 통해 홍보됐다.

MacSync는 2025년 Mac.c라는 이름으로 등장한 Mac 악성코드 계열로, 이후 이름이 변경됐다. 초기 버전은 AMOS 스틸러와 유사한 AppleScript를 사용했으며, 이후 버전에서 백도어 모듈이 추가됐다. 카스퍼스키는 2026년 9월 최신 버전을 처음 발견했다.

카스퍼스키의 악성코드 분석가 세르게이 푸잔(Sergey Puzan)은 다음과 같이 설명했다. "새로운 버전의 MacSync 인포스틸러는 이전에 관찰된 변종들과 상당히 다릅니다. 공격자들은 스틸러와 백도어의 핵심 악성 페이로드를 실행하는 방식을 AppleScript에서 Swift와 Objective-C로 작성된 본격적인 실행 파일로 전면 개편했습니다."

그는 이어 "더 복잡해진 감염 체인도 주목할 만합니다. ClickFix 공격으로 전달되던 난독화된 셸 스크립트 대신, 이 버전은 바이너리 드로퍼와 로더를 사용하며, 일부는 악성 페이로드 전달의 중간 단계로 Apple의 인프라를 활용했습니다"라고 덧붙였다.

캘린더 이벤트에 숨겨진 명령어

카스퍼스키는 하나의 가짜 앱을 중심으로 구성된 단일 캠페인 내에서 인포스틸러와 백도어가 전달되는 두 가지 방식을 확인했다. 첫 번째 방식에서는 DMG 파일 안에 컴파일된 JXA 스크립트가 포함되어 있으며, 이 스크립트가 셸 스크립트를 디코딩한 뒤 디스크에 저장하지 않고 인터프리터에 직접 전달한다.

두 번째 방식에서는 동일한 스크립트가 드로퍼와 로더 체인이 실행된 이후에야 나타난다. 이 더 긴 체인은 DMG 안의 앱에서 시작된다. 앱이 실행되면 자신에게 설정된 격리(quarantine) 속성을 제거하고, 다음 단계 다운로더 스크립트로 향하는 숨겨진 링크를 복호화한다.

일부 샘플에서 해당 링크는 공격자가 통제하는 서버의 파일을 가리켰다. 적어도 하나의 샘플에서는 공개된 iCloud 캘린더를 가리켰다. 다운로더는 캘린더 파일을 한 줄씩 zsh 셸에 입력하며, DESCRIPTION: 줄 이후에 배치된 악성 명령어에 도달하기 전까지는 셸이 해당 줄들을 잘못된 명령으로 처리한다. 이 악성 명령어들은 iCloud에서 또 다른 앱이 담긴 아카이브를 다운로드하며, 해당 앱은 임시(ad-hoc) 서명이 적용된 상태로 실행된다.

해당 앱은 두 번째 드로퍼를 압축 해제하는 드로퍼다. 두 번째 드로퍼는 가상 머신에서 실행 중인지 확인하고, 디버거 연결을 차단한 뒤, 공격자 서버에서 다음 단계를 다운로드하는 스크립트를 전달한다. 거의 모든 단계에서 악성코드는 작업 완료 후 임시 파일과 로그를 삭제한다.

가짜 프롬프트와 방대한 탈취 데이터 목록

스틸러는 사칭하는 앱과 일치하는 스타일의 창을 통해 관리자 비밀번호를 요구한다. 비밀번호가 입력되면 앱이 손상됐으니 휴지통으로 이동하라는 가짜 시스템 안내를 표시한다.

가짜 비밀번호 프롬프트 및 앱 손상 경고 (출처: Kaspersky)

푸잔은 "흥미롭게도, 공격자들은 대부분의 macOS 악성코드 계열이 비밀번호 검증에 사용하는 dscl 유틸리티 대신 PAM(Pluggable Authentication Modules) API를 사용했습니다. 이는 macOS 악성코드에서 비교적 새로운 기법으로, 2026년 7월 Pam Stealer 계열에서 처음 야생에서 관찰됐습니다"라고 언급했다.

스틸러는 브라우저 방문 기록, 쿠키, 저장된 로그인 정보 및 비밀번호, 암호화폐 지갑 확장 프로그램 데이터를 수집한다. 또한 암호화폐 지갑 앱 데이터, Telegram 데이터, 기기 로그인 정보와 비밀번호, Keychain 파일, 설치된 앱·실행 중인 프로세스·기기 모델 등 시스템 정보도 탈취한다.

SSH, zsh, AWS, Kubernetes, Git 설정 파일과 zsh·Bash 명령어 기록, 사용자 프로필 사진도 표적이 된다.

카스퍼스키는 지금까지 발견된 모든 샘플에서 비활성화된 기능도 발견했다. 해당 기능은 사용자 확인 없이 Keychain 항목을 읽을 수 있도록 접근 설정을 변경하는 것이나, 현재 형태에서는 여전히 확인 프롬프트가 나타난다.

Finder로 위장한 백도어

Objective-C로 작성된 백도어는 Finder로 위장한다. com.apple.finder.agent라는 이름의 LaunchAgent, .zshrc 파일에 추가된 명령어, 전역 Git pre-commit 및 post-checkout 훅에 추가된 명령어를 통해 재시작된다.

헬퍼 스크립트는 백도어 파일이 없을 경우 백업 복사본에서 복원한다. 또한 BTMNotificationAgent, NotificationCenter, BackgroundTaskManagementAgent 프로세스를 종료하여 macOS가 새 LaunchAgent에 대해 사용자에게 알림을 보내지 못하도록 차단한다.

백도어는 공격자 서버가 전송하는 AppleScript를 실행한다. 카스퍼스키는 해당 스크립트를 확보하지 못했으며, 명령어 이름과 서버로 전송되는 메시지를 토대로 각 명령의 기능을 파악했다. 공격자는 이 명령들을 통해 다음을 수행할 수 있다: