A Microsoft Defender Experts vinculou mais de 30 domínios na web ao MacSync Stealer, um information stealer voltado para macOS, após correlacionar comportamentos recorrentes de endpoint e de rede em uma infraestrutura que mudava com frequência. A empresa rastreou o malware desde a obtenção do payload até as etapas de coleta, preparação e exfiltração de dados.
Segundo a Microsoft, só foi possível tratar um domínio como relacionado após a convergência de vários sinais de endpoint e rede, entre eles a árvore de processos, padrões da linha de comando, caminhos das requisições, cabeçalhos e parâmetros de envio.
A companhia não divulgou o número de vítimas nem atribuiu a atividade a um threat actor específico no relatório publicado na terça-feira. “A investigação também confirmou exfiltração ativa de dados, e não apenas beaconing”, informou a empresa.
De acordo com a análise, a execução observada começou em uma sessão interativa do Terminal zsh, compatível com a engenharia social ClickFix. Em seguida, o curl buscou conteúdo controlado pelo atacante por meio do caminho recorrente /curl/, enquanto utilitários nativos como Base64 e gunzip decodificavam ou descompactavam o payload.
O payload usa o osascript para executar ações assistidas por AppleScript, em conjunto com utilitários nativos do macOS e do Unix, antes de coletar informações do host e do usuário, material do macOS Keychain, credenciais e cookies de navegador, dados de sessão, Apple Notes, chaves Secure Shell (SSH), credenciais da Amazon Web Services (AWS), configurações do Kubernetes, histórico de navegação e arquivos sensíveis de diretórios comuns do usuário.
Os dados coletados são preparados em /tmp/sync*, compactados em /tmp/osalogging.zip, divididos em vários blocos e enviados com curl por requisições HTTP PUT usando parâmetros recorrentes como upload_id, chunk_index e total_chunks. Depois da exfiltração, o malware remove arquivos temporários, pastas de preparação, arquivos de bloqueio e outros artefatos.
A divulgação amplia uma análise da RST Cloud publicada em 8 de maio, que documentou uma chave de API estática em quatro domínios confirmados de command and control (C2) e identificou mais 11 domínios candidatos por meio de padrões recorrentes de URI como /dynamic?txd= e /gate?buildtxd=.
Vários desses candidatos tinham janelas de submissão sobrepostas, o que, segundo a RST Cloud, era compatível com operação paralela de C2, e não com rotação estritamente sequencial entre nomes de host. “O token hexadecimal de build gira a cada implantação, a api-key não”, afirmou a empresa.
Uma comparação feita entre os dois conjuntos publicados de indicadores mostrou que quatro domínios que a Microsoft agora lista, lalandscapelighting[.]com, lumenagnet[.]com, nailscanai[.]com e numericagent[.]com, também apareciam no cluster de candidatos da RST Cloud em maio. A RST Cloud classificou esses domínios como vinculados a padrão de URI, e não como confirmados por chave de API, porque não obteve amostras de cada candidato para validar a correspondência estática da api-key.
A Microsoft descreve cabeçalhos de api-key como uma característica recorrente do MacSync, mas sua publicação de 18 de agosto não informa o valor estático documentado pela RST Cloud nem diz que o mesmo valor aparece em todos os domínios do conjunto atual.
Segundo a Microsoft, os traços recorrentes de rede incluem os caminhos /curl/, /dynamic?txd= e /gate?buildtxd=, cadeias de User-Agent do macOS, cabeçalhos de api-key e uploads HTTP PUT com os mesmos parâmetros de gerenciamento de blocos.
Os pesquisadores usaram esses formatos de requisição em conjunto com o contexto de execução no endpoint para identificar infraestrutura relacionada à medida que os domínios mudavam.
A Microsoft compartilhou os seguintes indicadores pontuais de domínios observados em atividades compatíveis com o MacSync Stealer:
aihealthring[.]com
cabinrentalsnc[.]com
chatbasedos[.]com
commercialroofingsd[.]com
dogtrainersgeorgia[.]com
fintelliganceai[.]com
homeinspectionsdelaware[.]com
intopython[.]com
lalandscapelighting[.]com
lumenagnet[.]com
marbellaresales[.]com
miamipcsupport[.]com
moldinspectiondayton[.]com
nailscanai[.]com
newjerseypetsitter[.]com
numericagent[.]com
oaklandwaterdamage[.]com
oklahomawarehousing[.]com
olympiapetemergency[.]com
peaecagent[.]com
plasmaticsystems[.]com
plethorawallet[.]com
premierrentalpurchase[.]com
ricewaterbeauty[.]com
rvieragent[.]com
sandiegotkd[.]com
secueragent[.]com
shiledagent[.]com
syracusefertilitycenter[.]com
vastbets[.]com
wvaeagent[.]com
A Microsoft orientou as organizações a seguir estas medidas:
Educar os usuários para não colar nem executar comandos do Terminal vindos de sites não confiáveis, mensagens em chats, aplicativos, arquivos ou instruções recebidas por telefone.
Monitorar sessões incomuns do Terminal, zsh e shell que obtenham payloads, decodifiquem conteúdo ou executem comandos logo após a interação do usuário.
Correlacionar atividades de shell assistidas por AppleScript com acesso a armazenamentos de credenciais, criação de arquivos compactados em caminhos temporários e tráfego de saída subsequente.
Monitorar uploads HTTP PUT baseados em curl que usem --data-binary, cabeçalhos de api-key, identificadores de upload, índices de blocos, contagem total de blocos e padrões recorrentes de URI /gate.
Investigar conexões com domínios suspeitos ou recém-registrados e continuar buscando os padrões de requisição e de processo que podem persistir mesmo após mudanças na infraestrutura.
A Apple também documentou separadamente três proteções disponíveis no macOS 26.4 e versões posteriores: proteção contra colagem no Terminal, bloqueio de comandos pela área de transferência e análise de AppleScript.
Após um período de tolerância de 24 horas depois da configuração inicial do sistema, o aviso do Terminal passa a ser exibido quando o usuário não abre o Terminal há mais de 30 dias, não há ferramentas comuns de desenvolvimento detectadas e a colagem se origina de um aplicativo específico, como navegador ou app de mensagens.
O XProtect consegue rastrear a árvore de processos gerada por comandos colados no Terminal, verificar artefatos de rede associados no Apple Safe Browsing Service e bloquear comportamentos que correspondam a técnicas conhecidas de malware. Execuções de AppleScript e de JavaScript for Automation também são inspecionadas localmente, inclusive scripts executados diretamente da memória.
A divulgação ocorre menos de duas semanas depois de a Microsoft afirmar que confirmou mais de 250 domínios de front-end em uma campanha de ClickFix no macOS que distribuía MacSync e Atomic Stealer (AMOS) por trás de um bloqueio de fingerprinting do navegador no lado do servidor. O relatório de 18 de agosto não diz que esses domínios de front-end sejam o mesmo conjunto de infraestrutura dos mais de 30 domínios identificados por meio dos pivôs comportamentais do MacSync.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...