Microsoft Defender Experts ha collegato oltre 30 domini web a rotazione a una infrastruttura legata a MacSync Stealer, un information stealer mirato a macOS. La correlazione non si basa su un singolo indicatore, ma su un insieme di comportamenti ripetuti lato endpoint e rete che rimangono stabili anche quando i domini cambiano.
Tra gli elementi usati per stabilire il legame ci sono la catena dei processi, i pattern della riga di comando, i percorsi delle richieste, gli header HTTP e i parametri di upload, con l’obiettivo di tracciare l’intero flusso dal recupero del payload fino alla raccolta ed esfiltrazione dei dati.
Esecuzione e catena di infezione
L’esecuzione osservata parte spesso da una sessione interattiva di Terminale con zsh, coerente con tecniche di social engineering come ClickFix, in cui l’utente viene spinto a incollare e lanciare comandi. Il download del contenuto avviene tramite curl, frequentemente su un percorso ricorrente come /curl/, seguito dall’uso di utility native per decodifica e unpacking come base64 e gunzip. Per l’esecuzione, il malware sfrutta anche osascript, integrando AppleScript con comandi Unix per aumentare la flessibilità e ridurre la necessità di componenti esterni.
Raccolta dati ed esfiltrazione
Una volta attivo, MacSync Stealer raccoglie informazioni su host e utente, dati dal macOS Keychain, credenziali e cookie dei browser, sessioni, Apple Notes, chiavi SSH, credenziali AWS, configurazioni Kubernetes, cronologia di navigazione e file sensibili presenti nelle cartelle più comuni. I dati vengono preparati in staging sotto /tmp/sync*, compressi in /tmp/osalogging.zip, poi divisi in chunk e caricati con richieste HTTP PUT tramite curl, usando parametri ripetuti come upload_id, chunk_index e total_chunks. Dopo l’invio, vengono eliminati archivi temporanei, cartelle di staging e altri artefatti per ridurre le tracce.
Indicatori di rete e difesa
Sul piano della threat intelligence, i tratti di rete ricorrenti includono anche i percorsi /dynamic?txd= e /gate?buildtxd=, stringhe User Agent tipiche di macOS e l’uso di header con api key. Per la difesa, è cruciale formare gli utenti a non eseguire comandi da fonti non affidabili, monitorare sessioni anomale di Terminale e correlare l’uso di AppleScript con accesso a store di credenziali, creazione di archivi in percorsi temporanei e traffico in uscita verso domini sospetti o appena registrati.