A Microsoft Defender Experts revelou mais de 30 domínios associados à atividade do MacSync Stealer, que tem como alvo dispositivos macOS, após analisar seu comportamento em endpoints e redes, em vez de depender apenas dos nomes de domínio. O malware usa uma infraestrutura mutável para distribuir a carga maliciosa, comunicar-se com dispositivos infectados e roubar dados, mas os padrões de execução de comandos, solicitações de rede e preparação de arquivos permaneceram recorrentes, permitindo rastrear a atividade apesar da alteração dos domínios.
A investigação ocorreu após relatórios anteriores da RST Cloud identificarem um conjunto limitado de domínios e uma rápida mudança nos servidores de comando e controle (C2) após a divulgação pública da ameaça. A Microsoft ampliou o escopo do monitoramento ao correlacionar comportamentos recorrentes nas etapas de obtenção da carga, registro da comunicação com o servidor, coleta de dados, compactação e exfiltração.
Como começa a infecção?
A atividade observada começou com uma sessão interativa em um terminal do macOS, em consonância com a abordagem de engenharia social ClickFix, na qual o usuário é enganado para copiar comandos no Terminal e executá-los. Os invasores usaram a ferramenta curl para obter conteúdo de um caminho sob seu controle; em seguida, a carga foi decodificada ou descompactada usando ferramentas nativas, como Base64 e gunzip.
Depois disso, o malware recorreu ao osascript para executar comandos Shell com auxílio do AppleScript, além de ferramentas como sh, cp, rm, mkdir e killall. Essa cadeia oferece aos defensores um sinal mais forte do que o endereço de download isoladamente, especialmente quando a execução do Terminal ou zsh é seguida pela obtenção e decodificação de uma carga e, em seguida, por uma conexão externa rápida.
Quais dados o MacSync tem como alvo?
A atividade não se limitou ao envio de sinais periódicos aos servidores dos invasores. A Microsoft observou operações amplas de coleta que incluíam informações do host, do usuário e dos processos em execução, além da busca por aplicativos de carteiras de criptomoedas e vestígios locais associados ao Ledger e ao Trezor.
O malware também teve como alvo materiais do macOS Keychain, chaves do Browser Safe Storage, credenciais de navegadores, cookies, bancos de dados de login, dados de sessão, IndexedDB, LevelDB e armazenamento de extensões. O escopo incluía os navegadores Chrome, Brave, Edge, Opera, Vivaldi, Arc, Chromium e outros, além de dados do Safari, Apple Notes, chaves SSH, credenciais da AWS, configurações do Kubernetes e perfis de navegador.
O MacSync também procurou arquivos sensíveis nas pastas Downloads, Documents e Desktop, incluindo os tipos PDF, DOCX, TXT, KEY, PEM, KDBX, OVPN, WALLET e SEED.
Por que é difícil rastrear a infraestrutura mutável?
A Microsoft vinculou os domínios quando vários atributos comportamentais convergiram no contexto do processo, na linha de comando e nos dados de rede. Entre os principais pontos de ancoragem estavam caminhos URI recorrentes, como /curl/, /dynamic?txd= e /gate?buildtxd=, além de cadeias curl que incluíam as opções -k, -s, --max-time e --data-binary, um User-Agent específico do macOS e cabeçalhos API-key.
Na etapa de exfiltração de dados, os arquivos eram compactados em /tmp/osalogging.zip após serem reunidos em caminhos /tmp/sync*; depois, o arquivo era dividido em partes e enviado por solicitações HTTP PUT. As solicitações incluíam os valores upload_id, chunk_index e total_chunks, indicadores que podem ser correlacionados com eventos de criação de arquivos, processos e conexões.
A RST Cloud usou os padrões URI recorrentes para descobrir 11 domínios candidatos adicionais. Também encontrou um valor de API-key constante compartilhado entre quatro domínios C2 confirmados, enquanto o identificador de build mudava a cada implantação. Esse resultado mostra que a correspondência de um único atributo pode não ser suficiente, ao passo que a concordância entre vários atributos reduz o risco de vincular domínios não relacionados.
O que muda, na prática, para os defensores?
A importância da investigação está em deslocar o foco dos indicadores de comprometimento estáticos para a sequência de comportamento. A rotação de domínios pode reduzir a eficácia do bloqueio baseado em nomes de domínio ou da correlação posterior de endereços IP, mas não elimina necessariamente os vestígios do uso de curl, da execução de AppleScript, do acesso a armazenamentos de senhas, da criação de um arquivo temporário e da realização de um upload dividido.
- Monitorar sessões incomuns do Terminal e do zsh, especialmente quando começam com a obtenção ou decodificação de uma carga após a interação do usuário.
- Detectar sequências que combinam osascript com curl ou ferramentas do sistema, como Base64, gunzip, cp, rm, mkdir e killall.
- Correlacionar o acesso ao Keychain, às credenciais de navegadores, às chaves SSH e às credenciais de nuvem com a criação de arquivos compactados ou temporários.
- Examinar operações HTTP PUT que utilizem --data-binary ou os valores upload_id, chunk_index e total_chunks, além de caminhos /gate recorrentes.
- Tratar domínios novos ou suspeitos como indicadores auxiliares, mantendo a busca pelo formato da solicitação e pelo contexto do processo mesmo após a alteração do domínio.
A Microsoft afirma que a Apple adicionou, no macOS 26.4 e em versões posteriores, mecanismos de proteção para desativar ataques ClickFix, incluindo avisos que podem impedir a colagem de comandos potencialmente maliciosos no Terminal, além de verificações do XProtect capazes de impedir a execução de scripts maliciosos detectados. A empresa também recomenda ativar a proteção fornecida pela nuvem, a proteção de rede e da Web e a proteção contra adulteração no Microsoft Defender ou no produto de segurança equivalente.
Para usuários do Microsoft Defender XDR, estão disponíveis recursos de detecção, investigação e resposta, além de relatórios de inteligência contra ameaças e consultas de Advanced Hunting que podem ser configuradas de acordo com o escopo dos dispositivos, o período e as listas de permissões. Essas consultas, por si só, não significam uma confirmação de infecção, mas fornecem um ponto de partida para correlacionar o comportamento do curl, os caminhos das solicitações e os processos do AppleScript com as demais etapas da cadeia de ataque.