据 BleepingComputer 9 月 24 日报道，援引卡巴斯基的研究：专为 macOS 打造的信息窃取程序 MacSync 推出了新版本，如今会从一个公开 iCloud 日历事件的描述中获取下一步指令。这是个巧妙的伎俩：在任何监视网络的东西看来，这台 Mac 只是在和苹果通信。
MacSync 是什么
MacSync 用 Swift 编写，于 2025 年 4 月首次出现。据卡巴斯基称，早期版本源自 AMOS 窃密程序家族，后来才发展出自己的模块。它通过社会工程手段找到受害者：诱骗人们把命令粘贴进终端的 ClickFix 式页面、假冒的 Homebrew 和磁盘空间分析工具，以及号称免费、破解版或全新的软件。在这次行动中，它还伪装成一个名为 Toria 的加密货币钱包，有自己的网站和社交媒体推广。
用大白话说，日历伎俩是怎么运作的
在卡巴斯基发现的两种投放方式中较复杂的一种里，一个小型下载器会读取一个公开的 iCloud 日历事件，并把其中的文本交给 Mac 的命令行 shell——zsh。这些文本大多是会产生报错的乱码，但放在事件 DESCRIPTION 行之后的命令会被执行。它们会从 iCloud 获取一个压缩包，里面有一个充当投放器（dropper）的 App 包，由它再下载窃密程序本体。
窃取部分基本没有变化：浏览器历史记录、Cookie 和保存的密码，加密货币钱包扩展和 App 数据，Telegram 数据，钥匙串文件，系统信息，以及开发者机密，例如 SSH、AWS、Kubernetes、Git 和 shell 配置文件。
新的是一个用 Objective-C 编写、伪装成“访达”（Finder）的后门。它的安装程序通过一个 LaunchAgent、修改 .zshrc 文件和全局 Git 钩子，让它在每次重启后重新启动；它还会终止 macOS 的通知进程，让警报无法到达用户。这个后门可以运行其操作者发来的 AppleScript，安装浏览器扩展，或把已安装的 Ledger 钱包 App 替换成被篡改的版本，并把文件和系统详情上传到它的指挥服务器。卡巴斯基是根据命令名称和状态消息推断出这些行为的；其中一条命令 live_browser 会获取一个组件，卡巴斯基无法确定其用途。
这会影响你吗？
只有在你运行它的情况下才会。MacSync 不会自己闯进来：报告中描述的每一条路径，都始于一个人粘贴命令、打开来自不可信网站的下载，或在被要求时输入管理员密码。这是好消息，因为这意味着好习惯就能阻止它。
今天就该做的事
- 永远不要把网页、“人机验证”、聊天或视频里的命令粘贴进终端。没有任何正规网站需要你这样做来证明你是人类或修复错误。
- 只从开发者自己的网站或 App Store 下载 App（包括加密货币钱包），并对通过广告或社交媒体找到的网站上的 DMG 文件保持怀疑。
- 把意料之外的管理员密码提示当作停车标志，而不是走个形式。
- 检查 系统设置 › 通用 › 登录项与扩展，以及你“资源库”中的 LaunchAgents 文件夹，看看有没有你不认识的东西。
- 如果你使用 Git，在终端里运行 git config --global core.hooksPath：它通常什么都不输出。如果出现一个你没有设置过的路径，值得调查。
- 保持 macOS 最新，让苹果的内置防护拥有最新的特征库。
FireAI 能做什么，不能做什么
窃密程序只有在把找到的东西发出去之后，才对它的操作者有用。那一刻就是一次网络连接，而 FireAI 正是为这一刻而打造的：
- 一个你从未批准过的 App——比如一个你刚安装的“钱包”，或者藏在 App 包里的投放器——第一次试图访问互联网时，FireAI 会询问你，指出是哪个 App，并在世界地图上显示它要去哪里。
- 在“偏执”模式下，未签名的 App 会被拦截，连 Apple 自己的命令行工具（比如被粘贴的终端命令用来下载文件的那些）也必须像其他 App 一样经过批准。
- 当某个 App 的首次连接出现在你的剪贴板刚变化几秒之后，Clipboard Armor 会在“调查”中添加一个警告标志，这正是“复制这条命令”伎俩留下的特征。
- FireAI 自己的 AI 会解释你 Mac 上的每一个连接，所以“访达正在连接一个位于你从未听说过的国家的服务器”会显露出它本来的样子：一个危险信号。
真实的限制：防火墙不会清除窃密程序，而你已经交出管理员密码的代码，可能会试图干扰机器上的任何安全工具。FireAI 的强项，是数据离开之前的那一刻。如果你怀疑自己中招，请断开网络，从另一台设备修改你的密码，并让人检查这台 Mac。
想看看你 Mac 上现在有哪些 App 在和互联网通信？下载 FireAI，免费试用 17 天。FireAI 由 HisnLabs 出品。