Малвертайзинг кампании превръщат първия резултат в капан за macOS потребители
Кликването върху първия резултат в Google при търсене на Homebrew може да доведе до заразяване със зловреден софтуер. Това предупреждават изследователи от SANS Internet Storm Center.
Причината е активна малвертайзинг кампания, при която атакуващи купуват спонсорирани позиции и поставят фалшиви версии на популярния инструмент за macOS на върха на резултатите.
Как работи атаката
Изследователят Брадли Дънкан идентифицира кампанията в края на април 2026 г.
Сценарият е изключително убедителен:
- фалшив сайт, визуално идентичен с оригиналния
- хостван в Google Sites, което създава доверие
- използване на компрометиран рекламен акаунт
Основната разлика е в инсталационната команда. Вместо да инсталира Homebrew, тя изпълнява скрит, кодиран скрипт.
Критичният момент: копирай, постави, зарази се
Потребителят следва стандартната процедура:
- копира команда
- поставя я в терминала
- въвежда парола
Това е нормално поведение при инсталиране на софтуер в macOS – и именно на това разчитат атакуващите.
След това се показва фалшива грешка, че приложението не се поддържа.
В същото време, във фонов режим се инсталира зловредният софтуер MacSync Stealer.
Какво прави MacSync Stealer
MacSync Stealer е сравнително нов, но бързо развиващ се инфостийлър със сериозни възможности:
- кражба на браузър данни (cookies, логини, разширения)
- извличане на файлове и документи
- достъп до Telegram и macOS Notes
- фалшиви прозорци за пароли с цел събиране на креденшъли
- кражба на криптопортфейли
Зловредният софтуер често осигурява постоянен достъп чрез подмяна на легитимни приложения като Ledger Live и Trezor Suite.
Събраните данни се архивират и изпращат към контролни сървъри (C2).
Тенденция: macOS вече е активна цел
С нарастващата популярност на Mac устройства, атаките срещу тях също се увеличават.
По-рано през 2026 г. Bitdefender откри над 200 злонамерени реклами, имитиращи популярни macOS приложения.
Защо атаката е толкова ефективна
Тази кампания комбинира няколко ключови фактора:
- доверие в първите резултати от търсене
- легитимна инфраструктура (Google Sites)
- реалистично поведение на инсталатора
- социално инженерство чрез терминални команди
Най-опасното е, че потребителят сам изпълнява зловредния код.
Как да се предпазим
Основните препоръки са ясни:
- избягвайте спонсорирани резултати при търсене
- използвайте ad blocker инструменти
- не изпълнявайте команди, които не разбирате
- проверявайте домейна на сайта ръчно
- използвайте надежден защитен софтуер
Легитимните разработчици рядко използват силно обфускирани (кодирани) скриптове за инсталация.
Hовата реалност на търсачките като вектор за атака
Кампанията показва как Google търсене може да бъде използвано като директен канал за атака.
В среда, в която дори първият резултат не е гаранция за доверие, критичното мислене и проверката на източниците стават основна линия на защита.
