Microsoft Defender Experts a révélé plus de 30 domaines liés à l’activité du logiciel MacSync Stealer, qui cible les appareils macOS, après avoir analysé son comportement sur les terminaux et les réseaux plutôt que de se fier uniquement aux noms de domaine. Le logiciel utilise une infrastructure changeante pour fournir la charge utile malveillante, communiquer avec les appareils infectés et voler des données, mais les modes d’exécution des commandes, les requêtes réseau et la préparation des fichiers sont restés récurrents, ce qui a permis de suivre l’activité malgré le changement des domaines.
L’enquête fait suite à des rapports précédents de RST Cloud, qui avaient repéré un nombre limité de domaines et un changement rapide des serveurs de commande et de contrôle (C2) après la divulgation publique de la menace. Microsoft a étendu le périmètre de surveillance en reliant des comportements récurrents lors des étapes de récupération de la charge utile, d’enregistrement de la communication avec le serveur, de collecte et de compression des données, puis d’exfiltration.
Comment l’infection commence-t-elle ?
L’activité observée a commencé par une session interactive dans un terminal macOS, conformément à la méthode d’ingénierie sociale ClickFix, dans laquelle l’utilisateur est trompé afin de copier des commandes dans Terminal et de les exécuter. Les attaquants ont utilisé l’outil curl pour récupérer du contenu depuis un chemin sous leur contrôle, puis la charge utile a été décodée ou décompressée au moyen d’outils natifs tels que Base64 et gunzip.
Le logiciel a ensuite utilisé osascript pour exécuter des commandes Shell avec l’aide d’AppleScript, ainsi que des outils comme sh, cp, rm, mkdir et killall. Cette chaîne fournit aux défenseurs un signal plus fiable que la seule adresse de téléchargement, en particulier lorsque l’exécution de Terminal ou de zsh est suivie de la récupération et du décodage d’une charge utile, puis d’une connexion externe rapide.
Quelles données MacSync cible-t-il ?
L’activité ne s’est pas limitée à l’envoi de signaux périodiques aux serveurs des attaquants. Microsoft a observé de vastes opérations de collecte portant notamment sur les informations relatives à l’hôte et à l’utilisateur, les processus en cours d’exécution, ainsi que la recherche d’applications de portefeuilles de cryptomonnaies et de traces locales liées à Ledger et Trezor.
Le logiciel a également ciblé les éléments de macOS Keychain, les clés Browser Safe Storage, les identifiants des navigateurs, les cookies, les bases de données de connexion, les données de session, IndexedDB, LevelDB et le stockage des extensions. Le périmètre comprenait les navigateurs Chrome, Brave, Edge, Opera, Vivaldi, Arc, Chromium et d’autres, ainsi que les données de Safari, Apple Notes, les clés SSH, les identifiants AWS, les configurations Kubernetes et les profils de navigateur.
MacSync a également recherché des fichiers sensibles dans les dossiers Downloads, Documents et Desktop, notamment aux formats PDF, DOCX, TXT, KEY, PEM, KDBX, OVPN, WALLET et SEED.
Pourquoi est-il difficile de suivre l’infrastructure changeante ?
Microsoft a relié les domaines lorsque plusieurs attributs comportementaux se combinaient dans le contexte du processus, la ligne de commande et les données réseau. Parmi les principaux points d’ancrage figuraient des chemins URI récurrents tels que /curl/, /dynamic?txd= et /gate?buildtxd=, ainsi que des chaînes curl comprenant les options -k, -s, --max-time et --data-binary, en plus d’un User-Agent propre à macOS et d’en-têtes API-key.
Lors de l’exfiltration des données, les fichiers étaient compressés dans le chemin /tmp/osalogging.zip après avoir été rassemblés sous des chemins /tmp/sync*, puis l’archive était divisée en parties et téléversée au moyen de requêtes HTTP PUT. Les requêtes comprenaient les valeurs upload_id, chunk_index et total_chunks, des indicateurs pouvant être corrélés avec les événements de création de fichiers, les processus et les connexions.
RST Cloud a utilisé les schémas URI récurrents pour découvrir 11 domaines supplémentaires candidats. Il a également trouvé une valeur API-key constante commune à quatre domaines C2 confirmés, tandis que le code de build changeait à chaque déploiement. Ce résultat montre que la correspondance d’un seul attribut peut ne pas suffire, alors que la concordance de plusieurs attributs réduit le risque d’associer des domaines sans lien.
Qu’est-ce qui change concrètement pour les défenseurs ?
L’importance de l’enquête réside dans le déplacement de l’attention, des indicateurs de compromission statiques vers la séquence comportementale. La rotation des domaines peut réduire l’efficacité du blocage fondé sur les noms de domaine ou de la mise en correspondance ultérieure des adresses IP, mais elle n’élimine pas nécessairement les traces laissées par l’utilisation de curl, l’exécution d’AppleScript, l’accès aux magasins de mots de passe, la création d’une archive temporaire, puis l’exécution d’un téléversement fragmenté.
- Surveiller les sessions Terminal et zsh inhabituelles, en particulier lorsqu’elles commencent par la récupération ou le décodage d’une charge utile après une interaction de l’utilisateur.
- Détecter les séquences combinant osascript avec curl ou des outils système tels que Base64, gunzip, cp, rm, mkdir et killall.
- Corréler l’accès à Keychain, aux identifiants des navigateurs, aux clés SSH et aux identifiants cloud avec la création d’archives ou de fichiers temporaires.
- Examiner les processus HTTP PUT qui utilisent --data-binary ou les valeurs upload_id, chunk_index et total_chunks, ainsi que les chemins /gate récurrents.
- Considérer les domaines nouveaux ou suspects comme des indicateurs auxiliaires, tout en continuant à rechercher la forme de la requête et le contexte du processus, même après un changement de domaine.
Microsoft indique qu’Apple a ajouté, dans macOS 26.4 et les versions ultérieures, des protections destinées à désactiver les attaques ClickFix. Elles comprennent des avertissements susceptibles d’empêcher le collage de commandes potentiellement malveillantes dans Terminal, ainsi que des contrôles XProtect capables d’empêcher l’exécution de scripts malveillants détectés. Microsoft recommande également d’activer la protection fournie par le cloud, la protection réseau et web, ainsi que la protection contre les falsifications dans Microsoft Defender ou le produit de sécurité équivalent.
Pour les utilisateurs de Microsoft Defender XDR, des fonctionnalités de détection, d’investigation et de réponse sont disponibles, ainsi que des rapports de renseignement sur les menaces et des requêtes Advanced Hunting pouvant être configurées selon le périmètre des appareils, la période et les listes d’autorisation. Ces requêtes ne signifient pas à elles seules qu’une infection est confirmée, mais elles fournissent un point de départ pour corréler le comportement de curl, les chemins de requête et les processus AppleScript avec les autres étapes de la chaîne d’attaque.