‏MacSync؛ دزد اطلاعات مکی که خودشو Claude جا زد

هانترس (Huntress) تو گزارشش از یه نفوذ به مک‌اواس می‌گه قربانی دنبال نصب Claude بوده، ولی چیزی که اجرا کرده یه دزد اطلاعات و ابزار کنترل از راه دور به اسم MacSync بوده. مسیر ورود ساده بود: یه جست‌وجوی گوگل، کلیک روی یه نتیجهٔ تبلیغاتی، و رسیدن به یه گفت‌وگوی اشتراکی روی خودِ دامنهٔ claude.ai که با برچسب «Shared by Apple Support» خودشو راهنمای رسمی نصب جا زده بود.

نکتهٔ اصلی همینه که هیچ دامنهٔ جعلی و هیچ خطای گواهی در کار نبوده. هر گفت‌وگوی اشتراکی Claude یه صفحهٔ وب عمومی و قابل ایندکسه، پس مهاجم فقط کافی بوده یکی منتشر کنه و با خرید تبلیغ، بالاتر از نتیجهٔ واقعی anthropic.com بشونتش. به گفتهٔ نویسنده این همون نسخهٔ پولی مسموم‌کردن نتایج جست‌وجوئه و چون جایگاه تبلیغاتی بالای همهٔ نتایج ارگانیک می‌شینه، جواب هم می‌ده.

دستوری که کاربر کپی می‌کنه آدرس سرور رو داخل یه رشتهٔ Base64 قایم کرده، پس تو یه نگاه هیچ دامنه‌ای دیده نمی‌شه و چیزی هم روی دیسک نمی‌مونه. از اینجا یه زنجیرهٔ شش‌مرحله‌ای باز می‌شه: یه لودر کوچیک zsh، محمولهٔ فشرده‌ای که در پس‌زمینه اجرا می‌شه، و بعد یه AppleScript حدوداً ۴۶ کیلوبایتی که سرور همون لحظه تحویل می‌ده و مغز دزدی همینه — هیچ‌وقت روی دیسک قربانی نوشته نمی‌شه.

اون مرحله اول از همه دنبال Full Disk Access می‌گرده، چون بدون این مجوز به کوکی‌ها و کیچین نمی‌رسه. یه دیالوگ شبیه دیالوگ‌های خود سیستم بالا میاره، کاربر رو دقیقاً می‌بره سر همون پنل تنظیمات، و برای اینکه ترمینال با مجوز تازه دوباره باز شه یه خط به ~/.zshrc اضافه می‌کنه و بعد برش می‌گردونه. مرحلهٔ بعد یه پنجرهٔ جعلی «System Preferences» رمز حساب رو می‌پرسه و با dscl . authonly صحتشو چک می‌کنه تا رمز واقعی گیرش بیاد.

با اون رمز تأییدشده، کلیدهای Safe Storage مرورگرهای کرومیومی از کیچین بیرون کشیده می‌شه و کوکی‌ها، لاگین‌ها، پروفایل مرورگرهای گِکو، نشست Telegram Desktop، محتوای ~/.ssh و ~/.aws و ~/.kube، یادداشت‌های اپل و حدود ۲۱ کیف‌پول دسکتاپی جمع و آپلود می‌شه. بعدش یه RAT بومی Mach-O با LaunchAgent ماندگار می‌شه و اگه کیف‌پول رمزارز پیدا کنه، خود اپ رو دستکاری می‌کنه تا موقع اجرا عبارت بازیابی رو از کاربر بگیره.

نکات کلیدی:

• مسیر آلودگی: تبلیغ گوگل، صفحهٔ اشتراکی روی دامنهٔ معتبر claude.ai، و یه دستور که کاربر خودش تو ترمینال اجرا می‌کنه
• هیچ اکسپلویتی در کار نیست؛ کل حمله روی اعتماد کاربر و مجوز Full Disk Access سواره
• رمز حساب با یه دیالوگ جعلی گرفته و با سرویس دایرکتوری اعتبارسنجی می‌شه، پس رمزی که به مهاجم می‌رسه قطعاً درسته
• ماندگاری از طریق LaunchAgent انجام می‌شه و لیبلش خودشو شبیه آپدیترهای واقعی مثل Google Keystone یا Microsoft AutoUpdate جا می‌زنه
• تشخیصی که فقط به هش فایل تکیه کنه جواب نمی‌ده، چون هر بیلد لودر یکتاست؛ باید رفتار رو دید