Число предложений вредоносного ПО для macOS за 9 месяцев 2026 года выросло в 6 раз
Изображение: OpenAI
Цены на программы варьируются от $70 до $20 000. Состав предложения тоже меняется: вместо одиночных стилеров операторам все чаще предлагают RAT- и C2-платформы с поддержкой macOS.
Эксперты BI.ZONE Threat Intelligence проанализировали объявления на теневых площадках, связанные с macOS. Исследование показало, что относительно 2023–2024 годов число предложений выросло более чем на треть, а в годовом выражении по сравнению с 2025 годом увеличилось в 6 раз. Часть записей не имела подтвержденной даты публикации, однако динамика указывает на переход от штучных лотов к регулярному предложению — если раньше macOS-инструменты выпускались штучно и могли продаваться эксклюзивно в одни руки, то теперь новые лоты появляются почти ежемесячно.
Структура рынка тоже меняется: вместо простых стилеров, похищавших данные браузеров и криптокошельков, стали чаще продаваться комплексные RAT- и C2-платформы. Отдельной нишей стали сервисы обхода защиты Apple — услуги по подписи и нотаризации macOS-приложений для операторов вредоносного ПО. По описаниям продавцов, такая работа стоит около $1 500 и позволяет ослабить встроенные защитные механизмы платформы, в том числе Gatekeeper и XProtect.
Олег Скулкин, руководитель BI.ZONE Threat Intelligence:
Если смотреть не только на число объявлений, но и на состав рынка, видно, что macOS постепенно утрачивает статус сложной мишени и становится обычной платформой в MaaS-портфеле наравне с Windows. В 2024 году лоты представляли собой дорогие единичные инструменты с исходниками за десятки тысяч долларов и жестким лимитом копий, когда в 2026 году они выходят почти ежемесячно, а нижняя ценовая планка опустилась до $70. Главное — меняется смысл угрозы: зараженный Mac теперь может означать не только потерю криптокошелька, но и доступ к SSH, облачным сервисам и конфигурациям ИИ-инструментов, то есть к корпоративной инфраструктуре через одно рабочее устройство.
В качестве распространения ВПО все чаще используется социальная инженерия, при которой пользователя убеждают открыть файл или вручную выполнить команду в терминале, включая ClickFix-подобные сценарии и обход карантина. Технический же уровень инструментов растет: поддержка архитектуры Apple Silicon стала стандартом, а в описаниях предложений заявляются разработка на Rust, полиморфная обфускация, использование нативных API операционной системы, механизмы обнаружения виртуализации и скрытые каналы управления. При этом указанные характеристики остаются заявлениями продавцов и на текущем этапе без реальных образцов подтвердить их нельзя.
