كشفت Microsoft Defender Experts عن أكثر من 30 نطاقاً مرتبطاً بنشاط برمجية MacSync Stealer التي تستهدف أجهزة macOS، بعد تحليل سلوكها على نقاط النهاية والشبكات بدلاً من الاعتماد على أسماء النطاقات وحدها. وتستخدم البرمجية بنية تحتية متغيرة لتوصيل الحمولة الخبيثة والتواصل مع الأجهزة المصابة وسرقة البيانات، لكن أنماط تنفيذ الأوامر وطلبات الشبكة وتجهيز الملفات بقيت متكررة، ما أتاح تتبع النشاط رغم تبدل النطاقات.
جاء التحقيق بعد تقارير سابقة من RST Cloud رصدت مجموعة محدودة من النطاقات والتغيير السريع في خوادم القيادة والسيطرة (C2) عقب الكشف العلني عن التهديد. ووسعت Microsoft نطاق الرصد من خلال الربط بين سلوكيات متكررة في مراحل جلب الحمولة، وتسجيل الاتصال بالخادم، وجمع البيانات، وضغطها، ثم إخراجها.
كيف تبدأ الإصابة؟
بدأ النشاط المرصود من جلسة تفاعلية في طرفية macOS، بما يتوافق مع أسلوب ClickFix للهندسة الاجتماعية، حيث يُخدع المستخدم لنسخ أوامر إلى Terminal وتشغيلها. استخدم المهاجمون الأداة curl لجلب محتوى من مسار يتحكمون فيه، ثم فُك ترميز الحمولة أو فك ضغطها باستخدام أدوات أصلية مثل Base64 وgunzip.
بعد ذلك استعانت البرمجية بـ osascript لتشغيل أوامر Shell بمساعدة AppleScript، إلى جانب أدوات مثل sh وcp وrm وmkdir وkillall. وتمنح هذه السلسلة المدافعين إشارة أقوى من عنوان التنزيل وحده، خصوصاً عندما تتبع تشغيل Terminal أو zsh عملية جلب حمولة وفك ترميزها ثم اتصالاً خارجياً سريعاً.
ما البيانات التي تستهدفها MacSync؟
لم يقتصر النشاط على إرسال إشارات دورية إلى خوادم المهاجمين. فقد رصدت Microsoft عمليات جمع واسعة شملت معلومات المضيف والمستخدم والعمليات الجارية، إضافة إلى البحث عن تطبيقات محافظ العملات المشفرة وآثار محلية مرتبطة بـ Ledger وTrezor.
استهدفت البرمجية أيضاً مواد macOS Keychain ومفاتيح Browser Safe Storage وبيانات اعتماد المتصفحات وملفات تعريف الارتباط وقواعد تسجيل الدخول وبيانات الجلسات وIndexedDB وLevelDB وتخزين الإضافات. وشمل النطاق متصفحات Chrome وBrave وEdge وOpera وVivaldi وArc وChromium وغيرها، إلى جانب بيانات Safari وApple Notes ومفاتيح SSH وبيانات اعتماد AWS وتهيئات Kubernetes وملفات تعريف المتصفح.
كما بحثت MacSync عن ملفات حساسة في مجلدات Downloads وDocuments وDesktop، بما في ذلك أنواع PDF وDOCX وTXT وKEY وPEM وKDBX وOVPN وWALLET وSEED.
لماذا يصعب تتبع البنية المتغيرة؟
ربطت Microsoft النطاقات عندما اجتمعت عدة سمات سلوكية عبر سياق العملية وسطر الأوامر وبيانات الشبكة. ومن أبرز نقاط الارتكاز مسارات URI المتكررة مثل /curl/ و/dynamic?txd= و/gate?buildtxd=، وسلاسل curl التي تتضمن الخيارات -k و-s و--max-time و--data-binary، إضافة إلى User-Agent خاص بـ macOS ورؤوس API-key.
وفي مرحلة إخراج البيانات، جرى ضغط الملفات في المسار /tmp/osalogging.zip بعد تجميعها تحت مسارات /tmp/sync*، ثم تقسيم الأرشيف إلى أجزاء ورفعه عبر طلبات HTTP PUT. وتضمنت الطلبات القيم upload_id وchunk_index وtotal_chunks، وهي مؤشرات يمكن ربطها بأحداث إنشاء الملفات والعمليات والاتصالات.
استخدمت RST Cloud أنماط URI المتكررة لاكتشاف 11 نطاقاً مرشحاً إضافياً، كما عثرت على قيمة API-key ثابتة مشتركة بين أربعة نطاقات C2 مؤكدة، في حين كان رمز البناء يتغير مع كل عملية نشر. وتوضح هذه النتيجة أن مطابقة سمة واحدة قد لا تكون كافية، بينما يؤدي توافق عدة سمات إلى تقليل خطر ربط نطاقات غير ذات صلة.
ما الذي يتغير عملياً للمدافعين؟
تكمن أهمية التحقيق في نقل مركز الثقل من مؤشرات الاختراق الثابتة إلى تسلسل السلوك. فقد تُضعف عملية تدوير النطاقات فعالية الحجب القائم على أسماء النطاقات أو المطابقة اللاحقة لعناوين IP، لكنها لا تلغي بالضرورة آثار استخدام curl، وتشغيل AppleScript، والوصول إلى مخازن كلمات المرور، وإنشاء أرشيف مؤقت، ثم تنفيذ رفع مجزأ.
- مراقبة جلسات Terminal وzsh غير المعتادة، خصوصاً عندما تبدأ بجلب حمولة أو فك ترميزها بعد تفاعل المستخدم.
- اكتشاف التسلسلات التي تجمع osascript مع curl أو أدوات النظام مثل Base64 وgunzip وcp وrm وmkdir وkillall.
- ربط الوصول إلى Keychain وبيانات اعتماد المتصفحات ومفاتيح SSH وبيانات السحابة بإنشاء أرشيفات أو ملفات مؤقتة.
- فحص عمليات HTTP PUT التي تستخدم --data-binary أو قيم upload_id وchunk_index وtotal_chunks ومسارات /gate المتكررة.
- التعامل مع النطاقات الجديدة أو المشبوهة كمؤشرات مساعدة، مع استمرار البحث عن شكل الطلب وسياق العملية حتى بعد تغير النطاق.
وتشير Microsoft إلى أن Apple أضافت في macOS 26.4 والإصدارات الأحدث وسائل حماية لتعطيل هجمات ClickFix، تشمل تحذيرات قد تمنع لصق أوامر يحتمل أن تكون خبيثة في Terminal، إضافة إلى فحوص XProtect التي يمكنها منع تشغيل نصوص خبيثة مكتشفة. كما توصي بتفعيل الحماية المقدمة عبر السحابة وحماية الشبكة والويب والحماية من العبث في Microsoft Defender أو المنتج الأمني المكافئ.
بالنسبة إلى مستخدمي Microsoft Defender XDR، تتوفر إمكانات للكشف والتحقيق والاستجابة، إلى جانب تقارير معلومات تهديدات واستعلامات Advanced Hunting يمكن تهيئتها وفق نطاق الأجهزة والفترة الزمنية وقوائم السماح. ولا تعني هذه الاستعلامات وحدها تأكيد الإصابة، لكنها توفر نقطة بداية لربط سلوك curl ومسارات الطلبات وعمليات AppleScript مع بقية مراحل سلسلة الهجوم.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.