Спеціалісти підрозділу BI.ZONE Threat Intelligence за підсумками аналізу тіньових майданчиків зафіксували багаторазове зростання пропозицій з продажу шкідливого програмного забезпечення для macOS. За дев'ять місяців 2026 року кількість оголошень про реалізацію зловмисного ПЗ для платформи Apple збільшилася в шість разів порівняно з аналогічним періодом 2025 року. Якщо зіставити поточні показники з даними 2023–2024 років, зростання становить понад третину від колишнього обсягу. Раніше подібні програми продавалися обмеженими партіями та з помітними перервами, тоді як у 2026 році нові оголошення з'являються практично щомісяця, що свідчить про перехід ринку від епізодичної активності до стійкого потоку пропозицій.
Ціновий діапазон і структура пропозицій
Вартість інструментів на тіньовому ринку варіюється від 70 доларів за базові утиліти до 20 000 доларів за комплексні рішення. За даними дослідників, найдорожчими позиціями залишаються не самі шкідливі модулі, а супутні сервіси: послуги з цифрового підпису та нотаріальної перевірки (notarization) додатків для обходу вбудованих механізмів захисту Apple оцінюються продавцями на рівні до 1 500 доларів за операцію. Це дозволяє зловмисникам представляти шкідливий код як легітимну програму, що пройшла верифікацію в системі Gatekeeper, що суттєво знижує ймовірність її блокування на етапі встановлення.
Зміна вектора: від стелерів до інфраструктури управління
Якісно змінився і склад пропонованого арсеналу. Якщо в попередні роки домінували вузькоспеціалізовані програми для крадіжки даних браузерів і криптогаманців, то у 2026 році на перший план вийшли засоби віддаленого управління (RAT) та платформи командування і контролю (C2). Перехід до інфраструктурних рішень означає, що атакуючі прагнуть не до разової кражі даних, а до довгострокової присутності в скомпрометованій системі з можливістю віддаленого управління, латерального переміщення та експлуатації привілеїв. Окремим напрямком на ринку стали готові C2-фреймворки, що дозволяють координувати дії на безлічі заражених вузлів одночасно.
Методи розповсюдження та заявлені технічні характеристики
Для доставки шкідливого коду активно застосовується соціальна інженерія: користувачів переконують вручну запускати команди в терміналі або відкривати підготовлені файли, оминаючи стандартні механізми захисту. Продавці у своїх оголошеннях заявляють про підтримку процесорів Apple Silicon, використання мови Rust в архітектурі зловмисного ПЗ та застосування просунутих методів приховування коду. При цьому BI.ZONE підкреслює, що перевірити ці характеристики без доступу до реальних зразків програм неможливо, і частина заяв може мати маркетинговий характер, спрямований на підвищення сприйманої цінності пропозиції.
Корпоративні ризики та оцінка перспектив
За оцінкою аналітиків BI.ZONE, macOS поступово перестає бути нішевою та «рідкісною» ціллю для кіберзлочинців. Компрометація одного робочого комп'ютера на платформі Apple може відкрити доступ не лише до особистих даних користувача, але й до SSH-підключень, облікових даних хмарних сервісів, а також до налаштувань і конфігурацій ШІ-інструментів, інтегрованих у корпоративну інфраструктуру. В умовах масового переходу компаній на гібридні моделі роботи та активного впровадження генеративного ШІ в робочі процеси, кожен Mac-ноутбук співробітника стає потенційним вузлом доступу до критично важливих корпоративних ресурсів, що багаторазово підвищує вартість успішної атаки та мотивацію зловмисників до освоєння платформи.
