Microsoft ha identificado más de 30 dominios vinculados a MacSync Stealer, un malware diseñado para robar credenciales, claves SSH y datos sensibles de macOS. El ataque suele iniciar mediante ingeniería social que induce al usuario a ejecutar comandos en la Terminal para descargar el código malicioso. Para protegerse, se recomienda evitar pegar comandos de fuentes desconocidas y utilizar las últimas actualizaciones de seguridad de Apple.







Expertos de Microsoft Defender han vinculado más de 30 dominios web a MacSync Stealer, un ladrón de información centrado en macOS, después de correlacionar comportamientos recurrentes de red y endpoints a través de una infraestructura cambiante, rastreando el malware desde la recuperación de la carga útil hasta la recolección, preparación y exfiltración de datos.

El gigante tecnológico afirmó que requirió que múltiples comportamientos de red y endpoint coincidieran antes de tratar un dominio como conectado, incluyendo la ascendencia del proceso, patrones de línea de comandos, rutas de solicitud, encabezados y parámetros de carga.

Microsoft no reveló el número de víctimas ni atribuyó la actividad a un actor de amenazas específico en el informe publicado el martes. "La investigación también confirmó la exfiltración activa de datos, no solo el envío de señales (beaconing)", afirmó la compañía.

Según el análisis, la ejecución observada comenzó desde una sesión interactiva de Terminal zsh consistente con la ingeniería social de ClickFix, seguida de curl recuperando contenido controlado por el atacante a través de una ruta /curl/ recurrente y utilidades nativas como Base64 y gunzip decodificando o descomprimiendo la carga útil.

La carga útil utiliza osascript para la ejecución asistida por AppleScript junto con utilidades nativas de macOS y Unix, antes de recolectar información del host y del usuario, material del Llavero (Keychain) de macOS, credenciales y cookies del navegador, datos de sesión, Notas de Apple, claves de Secure Shell (SSH), credenciales de Amazon Web Services (AWS), configuraciones de Kubernetes, historial del navegador y archivos sensibles de directorios comunes de usuario.

Los datos recolectados se preparan en /tmp/sync*, se comprimen en /tmp/osalogging.zip, se dividen en múltiples fragmentos y se cargan con curl a través de solicitudes HTTP PUT utilizando parámetros recurrentes como upload_id, chunk_index y total_chunks. El malware elimina los archivos temporales, carpetas de preparación, archivos de bloqueo y otros artefactos después de la exfiltración.

La revelación se basa en el análisis del 8 de mayo de RST Cloud, que documentó una clave API estática en cuatro dominios de comando y control (C2) confirmados e identificó 11 dominios candidatos adicionales a través de patrones de URI recurrentes /dynamic?txd= y /gate?buildtxd=.



Varios candidatos tenían ventanas de envío superpuestas, lo que RST Cloud afirmó que era consistente con una operación de C2 paralela en lugar de una rotación secuencial estricta entre nombres de host. "El token de compilación hex rota por despliegue, la clave API no lo hace", señaló RST Cloud.

Una comparación de los dos conjuntos de indicadores publicados reveló que cuatro dominios que Microsoft enumera ahora, lalandscapelighting[.]com, lumenagnet[.]com, nailscanai[.]com y numericagent[.]com, también aparecieron en el grupo de candidatos de mayo de RST Cloud. RST Cloud clasificó esos dominios como vinculados a patrones de URI en lugar de confirmados por clave API porque no había recuperado muestras de cada candidato para validar la coincidencia de la clave API estática.



Microsoft se refiere a los encabezados de la clave API como un rasgo recurrente de MacSync, pero su publicación del 18 de agosto no publica el valor estático documentado por RST Cloud ni indica que el mismo valor aparezca en cada dominio del conjunto actual.

Microsoft afirmó que los rasgos de red recurrentes incluyen las rutas /curl/, /dynamic?txd= y /gate?buildtxd=, cadenas de User-Agent de macOS, encabezados de clave API y cargas HTTP PUT que llevan los mismos parámetros de gestión de fragmentos.

Los investigadores utilizaron esas formas de solicitud junto con el contexto de ejecución del endpoint para identificar la infraestructura relacionada a medida que los dominios cambiaban.

Microsoft compartió los siguientes indicadores de dominios observados en actividad consistente con MacSync Stealer -

* aihealthring[.]com
* cabinrentalsnc[.]com
* chatbasedos[.]com
* commercialroofingsd[.]com
* dogtrainersgeorgia[.]com
* fintelliganceai[.]com
* homeinspectionsdelaware[.]com
* intopython[.]com
* lalandscapelighting[.]com
* lumenagnet[.]com
* marbellaresales[.]com
* miamipcsupport[.]com
* moldinspectiondayton[.]com
* nailscanai[.]com
* newjerseypetsitter[.]com
* numericagent[.]com
* oaklandwaterdamage[.]com
* oklahomawarehousing[.]com
* olympiapetemergency[.]com
* peaecagent[.]com
* plasmaticsystems[.]com
* plethorawallet[.]com
* premierrentalpurchase[.]com
* ricewaterbeauty[.]com
* rvieragent[.]com
* sandiegotkd[.]com
* secueragent[.]com
* shiledagent[.]com
* syracusefertilitycenter[.]com
* vastbets[.]com
* wvaeagent[.]com

Microsoft aconsejó a las organizaciones realizar los siguientes pasos -

* Educa a tus usuarios para que no peguen ni ejecuten comandos de Terminal desde sitios web, mensajes de chat, aplicaciones, archivos o instrucciones telefónicas no confiables.
* Monitorea sesiones inusuales de Terminal, zsh y shell que recuperen cargas útiles, decodifiquen contenido o ejecuten comandos poco después de la interacción del usuario.
* Correlaciona la actividad de shell asistida por AppleScript con el acceso al almacén de credenciales, la creación de archivos bajo rutas temporales y el tráfico saliente posterior.
* Monitorea las cargas HTTP PUT basadas en curl que utilicen --data-binary, encabezados de clave API, identificadores de carga, índices de fragmentos, recuentos totales de fragmentos y patrones de URI /gate recurrentes.
* Investiga las conexiones a dominios sospechosos o recién registrados mientras continúas buscando los patrones de solicitud y proceso que pueden persistir después de los cambios de infraestructura.

Apple ha documentado por separado tres protecciones disponibles en macOS 26.4 y versiones posteriores aquí: protección de pegado en Terminal, bloqueo de comandos del portapapeles y escaneo de AppleScript.

Después de un período de gracia de 24 horas tras la configuración inicial del sistema, la advertencia de Terminal se aplica cuando el usuario no ha abierto el Terminal en más de 30 días, no se detectan herramientas comunes de desarrollo y el pegado proviene de una aplicación específica como un navegador web o una aplicación de mensajería.

XProtect puede rastrear el árbol de procesos producido por los comandos de terminal pegados, verificar los artefactos de red asociados con el Servicio de Navegación Segura de Apple y bloquear el comportamiento que coincida con técnicas de malware conocidas. Las ejecuciones de AppleScript y JavaScript para Automatización también se inspeccionan localmente, incluidos los scripts ejecutados directamente desde la memoria.

La revelación llega menos de dos semanas después de que Microsoft afirmara haber confirmado más de 250 dominios front-end en una campaña de macOS ClickFix que distribuye MacSync y Atomic Stealer (AMOS) detrás de una puerta de huellas digitales del navegador en el lado del servidor. El informe del 18 de agosto no establece que esos dominios front-end sean el mismo conjunto de infraestructura que los más de 30 dominios identificados a través de los pivotes conductuales de MacSync.

Fuente:
THN