Video: haberin kısa anlatımı

Kaspersky araştırmacılarının saptadığına göre macOS bilgi çalma ailesi MacSync'in yeni varyantı, komut ve ikinci aşama yükleri için herkese açık iCloud takvim etkinliklerini kullanıyor. Haber 24 Eylül 2026'da BleepingComputer'da yer aldı.

MacSync 2025 Nisan'da görüldü; ClickFix tarzı sosyal mühendislik ve sahte «ücretsiz / crack / yeni uygulama» paketleriyle dağıtılıyor. Örnek: sosyal medyada tanıtılan sahte kripto cüzdanı Toria. Daha karmaşık zincirde bir indirici, genel iCloud takvim etkinliğinin açıklama alanından komutları çekiyor; metnin çoğu hata verse de DESCRIPTION: satırından sonraki komutlar çalışıp arşivi iCloud'dan indiriyor. Arşivdeki «APP» paketi dropper rolünde; sonunda MacSync yükleniyor.

Çalma modülü tarayıcı geçmişi/çerez/şifre, kripto cüzdan eklentileri, Telegram verisi, Keychain, SSH/AWS/Kubernetes/Git ve kabuk yapılandırmalarına bakıyor. Yeni modül: kendini Finder gibi gösteren Objective-C arka kapısı. Kalıcılık için LaunchAgent, .zshrc değişiklikleri ve global Git kancaları; bildirim süreçlerini keserek uyarıyı engelleme. Uzaktan AppleScript çalıştırma, tarayıcı eklentisi veya Ledger cüzdan uygulamasını C2'den gelen sürümle değiştirme, ek dosya toplama gibi yetenekler listeleniyor. «live_browser» adlı komut sn_relay bileşenini indiriyor; amacı Kaspersky tarafından netleştirilemedi.

Bizim için anlamı

MacSync kampanyası belirli bir ülkeye yönelik değil; dağıtımı sahte "ücretsiz", "crack" veya "yeni uygulama" paketleri ve Terminal'e komut yapıştırmayı isteyen ClickFix sayfaları üzerinden yapılıyor. Türkiye'deki Mac kullanıcıları için bu, lisanslı bir yazılımın "kırılmış" sürümünü aramanın ya da sosyal medya reklamında görülen bir kripto cüzdanını indirmenin doğrudan bir risk olduğu anlamına geliyor. Kötü amaçlı yazılımın tarayıcıda kayıtlı şifreleri, çerezleri ve Telegram verilerini hedeflemesi, e-Devlet, banka ve mesajlaşma oturumlarınızın da tehlikeye girebileceğini gösteriyor. Komut kanalı olarak herkese açık iCloud takviminin kullanılması, trafiğin Apple sunucularına gidiyormuş gibi görünmesi nedeniyle fark edilmeyi zorlaştırıyor.

Ne yapmalı?

İnternetten kopyalanan komutları çalıştırmayın; şüpheli siteden DMG indirmeyin; beklenmedik yönetici şifre istemlerinde durun. Kurumsal tarafta CalendarAgent veya güvenilmeyen uygulamaların anonim boru üzerinden zsh açması izlenebilir; webcal:// / caldav.icloud.com erişimi tarayıcı dışı süreçlerde alarm konusu olabilir.

Bireysel kullanıcı için ek adımlar

  • Uygulamaları yalnızca Mac App Store'dan veya geliştiricinin resmi sitesinden indirin.
  • Son haftalarda kaynağından emin olmadığınız bir DMG açtıysanız veya bir sayfanın isteğiyle Terminal'e komut yapıştırdıysanız, tarayıcıda kayıtlı şifrelerinizi (önce e-posta, banka ve e-Devlet) başka, temiz bir cihazdan değiştirin ve açık oturumları kapatın. Telegram için Ayarlar > Cihazlar bölümünden tanımadığınız oturumları sonlandırın; ayrıntılar hesap kurtarma rehberimizde.

Kaynak: BleepingComputer, Kaspersky araştırması.

CyberNews özeti

CyberNews özeti: MacSync, genel iCloud takvimini komut kanalı yaptı; sahte Finder arka kapısı eklendi. Kaynaklar: BleepingComputer (24 Eyl 2026); Kaspersky araştırması.