Microsoft entdeckt mehr als 30 mit dem MacSync-Diebstahl verbundene Domains durch Verhaltensanalyse

Microsoft Defender Experts hat mehr als 30 Domains identifiziert, die mit der Aktivität der auf macOS-Geräte ausgerichteten Schadsoftware MacSync Stealer verbunden sind. Grundlage war die Analyse ihres Verhaltens auf Endpunkten und in Netzwerken, anstatt sich ausschließlich auf Domainnamen zu verlassen. Die Schadsoftware verwendet eine wechselnde Infrastruktur, um die Schadlast bereitzustellen, mit infizierten Geräten zu kommunizieren und Daten zu stehlen. Die Muster bei der Befehlsausführung, bei Netzwerkanfragen und bei der Dateivorbereitung wiederholten sich jedoch, wodurch die Aktivität trotz wechselnder Domains verfolgt werden konnte.

Die Untersuchung folgte auf frühere Berichte von RST Cloud, in denen eine begrenzte Gruppe von Domains sowie der schnelle Wechsel der Command-and-Control-Server (C2) nach der öffentlichen Aufdeckung der Bedrohung festgestellt worden waren. Microsoft erweiterte die Überwachung, indem wiederkehrende Verhaltensweisen in den Phasen des Abrufs der Schadlast, der Registrierung der Serververbindung, der Datensammlung, der Komprimierung und der Exfiltration miteinander verknüpft wurden.

Wie beginnt die Infektion?

Die beobachtete Aktivität begann mit einer interaktiven Sitzung in einem macOS-Terminal, was mit der Social-Engineering-Methode ClickFix übereinstimmt. Dabei wird der Benutzer dazu gebracht, Befehle in Terminal zu kopieren und auszuführen. Die Angreifer verwendeten das Tool curl, um Inhalte von einem von ihnen kontrollierten Pfad abzurufen. Anschließend wurde die Schadlast mit nativen Tools wie Base64 und gunzip dekodiert oder dekomprimiert.

Danach nutzte die Schadsoftware osascript, um mithilfe von AppleScript Shell-Befehle auszuführen, zusammen mit Tools wie sh, cp, rm, mkdir und killall. Diese Kette liefert Verteidigern ein stärkeres Signal als die Downloadadresse allein, insbesondere wenn auf die Ausführung von Terminal oder zsh ein Abruf und eine Dekodierung der Schadlast sowie anschließend eine schnelle externe Verbindung folgen.

Welche Daten hat MacSync zum Ziel?

Die Aktivität beschränkte sich nicht auf das regelmäßige Senden von Signalen an die Server der Angreifer. Microsoft beobachtete umfangreiche Datensammlungen, darunter Informationen über Host, Benutzer und laufende Prozesse sowie die Suche nach Anwendungen für Kryptowährungs-Wallets und lokalen Spuren im Zusammenhang mit Ledger und Trezor.

Die Schadsoftware zielte außerdem auf macOS-Keychain-Inhalte, Browser-Safe-Storage-Schlüssel, Browser-Anmeldedaten, Cookies, Anmelde-Datenbanken, Sitzungsdaten, IndexedDB, LevelDB und den Speicher von Erweiterungen. Der Umfang umfasste die Browser Chrome, Brave, Edge, Opera, Vivaldi, Arc, Chromium und andere sowie Safari-Daten, Apple Notes, SSH-Schlüssel, AWS-Anmeldedaten, Kubernetes-Konfigurationen und Browserprofile.

MacSync suchte außerdem in den Verzeichnissen Downloads, Documents und Desktop nach sensiblen Dateien, darunter Dateien der Typen PDF, DOCX, TXT, KEY, PEM, KDBX, OVPN, WALLET und SEED.

Warum ist die wechselnde Infrastruktur schwer nachzuverfolgen?

Microsoft verknüpfte die Domains, wenn mehrere Verhaltensmerkmale im Prozesskontext, in der Befehlszeile und in den Netzwerkdaten zusammenkamen. Zu den wichtigsten Anhaltspunkten gehörten wiederkehrende URI-Pfade wie /curl/, /dynamic?txd= und /gate?buildtxd= sowie curl-Zeichenfolgen mit den Optionen -k, -s, --max-time und --data-binary, zusätzlich zu einem macOS-spezifischen User-Agent und API-key-Headern.

In der Phase der Datenexfiltration wurden die Dateien im Pfad /tmp/osalogging.zip komprimiert, nachdem sie unter Pfaden wie /tmp/sync* gesammelt worden waren. Anschließend wurde das Archiv in Teile aufgeteilt und über HTTP-PUT-Anfragen hochgeladen. Die Anfragen enthielten die Werte upload_id, chunk_index und total_chunks. Diese Indikatoren können mit Ereignissen zur Dateierstellung sowie mit Prozessen und Verbindungen verknüpft werden.

RST Cloud nutzte wiederkehrende URI-Muster, um 11 zusätzliche verdächtige Domains zu entdecken. Außerdem fand das Unternehmen einen festen API-key-Wert, der von vier bestätigten C2-Domains gemeinsam verwendet wurde, während sich der Build-Token bei jeder Bereitstellung änderte. Dieses Ergebnis zeigt, dass der Abgleich eines einzelnen Merkmals möglicherweise nicht ausreicht, während die Übereinstimmung mehrerer Merkmale das Risiko verringert, nicht zusammengehörige Domains miteinander zu verknüpfen.

Was ändert sich dadurch praktisch für Verteidiger?

Die Bedeutung der Untersuchung liegt darin, den Schwerpunkt von statischen Indicators of Compromise auf Verhaltensabfolgen zu verlagern. Das Rotieren von Domains kann die Wirksamkeit der auf Domainnamen basierenden Sperrung oder des nachträglichen Abgleichs von IP-Adressen beeinträchtigen, beseitigt jedoch nicht zwangsläufig die Spuren der Nutzung von curl, der Ausführung von AppleScript, des Zugriffs auf Passwortspeicher, der Erstellung eines temporären Archivs und anschließend eines fragmentierten Uploads.

• Ungewöhnliche Terminal- und zsh-Sitzungen überwachen, insbesondere wenn sie nach einer Benutzerinteraktion mit dem Abruf oder der Dekodierung einer Schadlast beginnen.
• Sequenzen erkennen, die osascript mit curl oder Systemtools wie Base64, gunzip, cp, rm, mkdir und killall kombinieren.
• Den Zugriff auf Keychain, Browser-Anmeldedaten, SSH-Schlüssel und Cloud-Anmeldedaten mit der Erstellung von Archiven oder temporären Dateien verknüpfen.
• HTTP-PUT-Prozesse prüfen, die --data-binary oder die Werte upload_id, chunk_index und total_chunks sowie wiederkehrende /gate-Pfade verwenden.
• Neue oder verdächtige Domains als unterstützende Indikatoren behandeln und auch nach einer Domainänderung weiterhin die Form der Anfrage und den Prozesskontext untersuchen.

Microsoft weist darauf hin, dass Apple in macOS 26.4 und späteren Versionen Schutzmaßnahmen zur Deaktivierung von ClickFix-Angriffen hinzugefügt hat. Dazu gehören Warnungen, die das Einfügen potenziell schädlicher Befehle in Terminal verhindern können, sowie XProtect-Prüfungen, die die Ausführung erkannter schädlicher Skripte verhindern können. Außerdem empfiehlt Microsoft, den cloudbasierten Schutz, den Netzwerk- und Webschutz sowie den Manipulationsschutz in Microsoft Defender oder dem entsprechenden Sicherheitsprodukt zu aktivieren.

Für Benutzer von Microsoft Defender XDR stehen Funktionen zur Erkennung, Untersuchung und Reaktion sowie Threat-Intelligence-Berichte und Advanced-Hunting-Abfragen zur Verfügung, die entsprechend dem Geräteumfang, dem Zeitraum und den Allow-Lists konfiguriert werden können. Diese Abfragen allein bestätigen keine Infektion, bieten jedoch einen Ausgangspunkt, um das Verhalten von curl, Anfragepfade und AppleScript-Prozesse mit den übrigen Phasen der Angriffskette zu verknüpfen.