Эксперты BI.ZONE Threat Intelligence проанализировали объявления на теневых площадках, связанные с macOS. Исследование показало, что относительно 2023–2024 гг. число предложений выросло более чем на треть, а в годовом выражении по сравнению с 2025 г. увеличилось в 6 раз. Часть записей не имела подтвержденной даты публикации, однако динамика указывает на переход от штучных лотов к регулярному предложению — если раньше macOS-инструменты выпускались штучно и могли продаваться эксклюзивно в одни руки, то теперь новые лоты появляются почти ежемесячно.
Структура рынка тоже меняется: вместо простых стилеров, похищавших данные браузеров и криптокошельков, стали чаще продаваться комплексные RAT- и C2-платформы. Отдельной нишей стали сервисы обхода защиты Apple — услуги по подписи и нотаризации macOS-приложений для операторов вредоносного ПО. По описаниям продавцов, такая работа стоит около $1 500 и позволяет ослабить встроенные защитные механизмы платформы, в том числе Gatekeeper и XProtect.
Олег Скулкин, руководитель BI.ZONE Threat Intelligence:
Если смотреть не только на число объявлений, но и на состав рынка, видно, что macOS постепенно утрачивает статус сложной мишени и становится обычной платформой в MaaS-портфеле наравне с Windows. В 2024 г. лоты представляли собой дорогие единичные инструменты с исходниками за десятки тысяч долларов и жестким лимитом копий, когда в 2026 г. они выходят почти ежемесячно, а нижняя ценовая планка опустилась до $70. Главное — меняется смысл угрозы: зараженный Mac теперь может означать не только потерю криптокошелька, но и доступ к SSH, облачным сервисам и конфигурациям ИИ-инструментов, то есть к корпоративной инфраструктуре через одно рабочее устройство.
В качестве распространения ВПО все чаще используется социнженерия, при которой пользователя убеждают открыть файл или вручную выполнить команду в терминале, включая ClickFix-подобные сценарии и обход карантина. Технический уровень инструментов растет: поддержка архитектуры Apple Silicon стала стандартом, а в описаниях предложений заявляются разработка на Rust, полиморфная обфускация, использование нативных API операционной системы, механизмы обнаружения виртуализации и скрытые каналы управления. Впрочем, указанные характеристики остаются заявлениями продавцов и на текущем этапе без реальных образцов подтвердить их нельзя.
