Un annuncio sponsorizzato su X diffonde malware per Mac sfruttando il nome dell'app DynamicLake

Jamf Threat Labs, la divisione dedicata alla ricerca sulla sicurezza informatica dell'azienda Jamf, ha individuato una nuova campagna malevola che sfruttava un annuncio sponsorizzato pubblicato sulla piattaforma X. L'inserzione promuoveva un sito fraudolento presentandosi come pagina ufficiale di DynamicLake, una nota applicazione per macOS che permette di trasformare il notch dei MacBook in una versione funzionante della Dynamic Island.

Secondo l'analisi dei ricercatori, il collegamento presente nell'annuncio reindirizzava gli utenti verso un dominio molto simile a quello autentico, ma completamente estraneo agli sviluppatori del software originale. Una volta aperta la pagina, ai visitatori veniva richiesto di avviare il Terminale di macOS e incollare alcuni comandi per procedere con una presunta installazione.

In realtà questa procedura consentiva l'installazione silenziosa di un malware, seguendo il metodo tipico degli attacchi di ingegneria sociale conosciuti come ClickFix. Jamf sottolinea che le applicazioni legittime, firmate e certificate da Apple, non richiedono mai questo tipo di operazioni manuali tramite Terminale. L'azienda ha identificato il software dannoso come una variante recente di Atomic Stealer, monitorata internamente con il nome MacSync. In alcuni casi sarebbero stati rilevati anche campioni riconducibili a DigitStealer.

Ulteriori elementi da conoscere su questo malware diffuso su X

Un elemento particolarmente rilevante riguarda la provenienza dell'annuncio. La pubblicità era infatti associata a un account verificato e molto conosciuto, circostanza che rendeva il contenuto più credibile agli occhi degli utenti. Secondo quanto emerso, il proprietario del profilo avrebbe autorizzato la pubblicazione dell'inserzione ritenendola legittima, senza sapere che il collegamento portava a un sito dannoso.

Jamf evidenzia come il vero problema riguardi il fatto che l'annuncio abbia superato i controlli del sistema pubblicitario di X, raggiungendo regolarmente gli utenti. I ricercatori ipotizzano che il dominio contraffatto e il sistema di reindirizzamento siano stati utilizzati proprio per aggirare i meccanismi automatici di verifica.

L'episodio ricorda altri casi simili verificatisi negli ultimi anni, quando anche Google Ads aveva approvato inserzioni che promuovevano siti malevoli, compresi falsi download di Homebrew destinati agli utenti Mac. Lo sviluppatore di DynamicLake ha espresso il proprio rammarico per l'accaduto, spiegando di combattere da tempo contro copie fraudolente dell'applicazione. Ha invitato gli utenti a scaricare il programma esclusivamente dal sito ufficiale DynamicLake.com, dove gli acquisti vengono gestiti tramite Gumroad. Dopo la segnalazione di Jamf Threat Labs, X ha rimosso rapidamente l'inserzione incriminata.