В 2026 году число объявлений на теневых платформах с предложениями ВПО для macOS увеличилось более чем на одну треть по сравнению с 2023-2024 годами. В сравнении с 2025 годом их количество возросло в шесть раз.
Как сообщили CNews специалисты Bi.Zone Threat Intelligence, часть записей не имела подтвержденной даты публикации, однако наблюдаемая динамика указывает на переход от единичных лотов к регулярному предложению. Ранее инструменты для macOS выпускались в ограниченном количестве и могли продаваться исключительно в одни руки, а теперь новые лоты появляются почти ежемесячно.
Эксперты также отметили изменение структуры рынка: вместо простых стилеров для кражи данных из браузеров и криптокошельков, стали более распространены комплексные RAT- и C2-платформы. Отдельной нишей стали сервисы обхода защиты Apple – услуги по подписи и нотарификации macOS-приложений для операторов вредоносного ПО. По описаниям продавцов, такая работа оценивается примерно в $1500 и позволяет ослабить встроенные защитные механизмы платформы, включая Gatekeeper и XProtect.
«Если рассматривать не только количество объявлений, но и состав рынка, заметно, что macOS постепенно теряет статус сложной мишени и становится обычной платформой в MaaS-портфеле наряду с Windows. В 2024 году лоты представляли собой дорогие единичные инструменты с исходниками за десятки тысяч долларов и строгим лимитом копий, тогда как в 2026 году они появляются почти ежемесячно, а минимальная цена снизилась до $70. Главное – меняется суть угрозы: зараженный Mac теперь может означать не только утрату криптокошелька, но и доступ к SSH, облачным сервисам и конфигурациям ИИ-инструментов, что дает возможность вторжения в корпоративную инфраструктуру через одно рабочее устройство», – прокомментировал Олег Скулкин, руководитель Bi.Zone Threat Intelligence.
В качестве распространения ВПО все чаще применяется социальная инженерия, при которой пользователю предлагают открыть файл или вручную выполнить команду в терминале, включая сценарии, подобные ClickFix, и обход карантина. Технический уровень инструментов также повышается: поддержка архитектуры Apple Silicon стала стандартом, а в описаниях предложений упоминается использование Rust, полиморфной обфускации, нативных API операционной системы, механизмов обнаружения виртуализации и скрытых каналов управления. При этом указанные характеристики остаются лишь заявлениями продавцов, и на текущем этапе подтвердить их без реальных образцов невозможно.
Ранее стало известно, что с 1 марта 2027 года российские банки прекратят обслуживание денежных переводов для клиентов с вредоносным программным обеспечением на устройстве. Эта мера направлена на защиту россиян от мошенников.
Мошенники выдают базовые настройки телефона за слежку
