MacSync Stealer ruota oltre 30 domini e ruba credenziali dai Mac

🛡️ Executive Summary

• MacSync Stealer parte da sessioni Terminale coerenti con ClickFix e usa curl, AppleScript e utility native per eseguire rapidamente il payload.
• Il malware raccoglie Keychain, browser, cookie, SSH, AWS, Kubernetes, wallet e file sensibili, poi esfiltra archivi suddivisi in chunk HTTP PUT.
• Microsoft collega oltre 30 domini attraverso pattern comportamentali e raccomanda hunting su curl, osascript, directory temporanee e parametri ricorrenti di upload.

Microsoft Defender Experts ha ampliato significativamente la mappa operativa di MacSync Stealer, infostealer dedicato a macOS che usa infrastrutture in continua rotazione per distribuire payload, comunicare con i dispositivi compromessi ed esfiltrare informazioni. Partendo dai comportamenti osservati sugli endpoint anziché dai soli indicatori statici, Microsoft ha collegato più di 30 domini alla stessa attività e ricostruito una catena che parte da comandi eseguiti nel Terminale e termina con il furto di Keychain, credenziali dei browser, sessioni, chiavi SSH, configurazioni cloud, wallet e documenti sensibili. Il valore della ricerca sta soprattutto nei pivot comportamentali, che restano riconoscibili anche quando l’infrastruttura C2 viene sostituita.

MacSync parte dal Terminale e abusa degli strumenti nativi

La catena osservata da Microsoft inizia da una sessione zsh interattiva compatibile con un’esca ClickFix, nella quale la vittima viene convinta a incollare o eseguire direttamente un comando nel Terminale. curl recupera il contenuto malevolo da un percorso /curl/, mentre utility native come Base64 e gunzip decodificano o scompattano gli stage successivi. Il malware ricorre quindi a osascript per eseguire comandi AppleScript e concatenare strumenti già presenti nel sistema, tra cui sh, cp, rm, mkdir, killall e ancora curl. Microsoft sottolinea che questa sequenza è più utile per il threat hunting rispetto a un singolo dominio perché conserva una forma riconoscibile anche quando gli operatori cambiano host. Un modello diverso ma ugualmente orientato al furto di credenziali è apparso con CrashStealer, distribuito attraverso un dropper macOS notarizzato, a conferma di quanto gli infostealer per Mac stiano combinando sempre più spesso strumenti legittimi e tecniche di social engineering. Il report tecnico Microsoft su MacSync Stealer descrive questa fase come il primo punto stabile da utilizzare per identificare l’attività.

Keychain, browser e cloud diventano il vero obiettivo

Dopo l’esecuzione, MacSync Stealer enumera processi e informazioni del sistema e cerca applicazioni collegate alle criptovalute, compresi artefatti locali di Ledger e Trezor. La raccolta si estende però molto oltre i wallet: vengono presi di mira materiale del macOS Keychain, Safe Storage keys dei browser, password, cookie, database di login, dati di sessione, IndexedDB, LevelDB, storage delle estensioni, informazioni Safari, Apple Notes, chiavi SSH, credenziali AWS, configurazioni Kubernetes e file presenti in Desktop, Documents e Downloads. Tra le estensioni ricercate figurano PDF, DOCX, TXT, KEY, PEM, KDBX, OVPN, WALLET e SEED. L’approccio ricorda la capacità di XCSSET v40 di colpire browser e credenziali all’interno dell’ecosistema macOS, ma MacSync non necessita di compromettere un progetto Xcode: punta direttamente alla sessione dell’utente e sfrutta la quantità di secret ormai conservata sulle workstation professionali. Microsoft osserva quindi un passaggio importante: un Mac compromesso può fornire non soltanto password locali, ma accessi a cloud, repository, cluster Kubernetes e infrastrutture remote.

L’esfiltrazione usa archivi divisi in chunk HTTP

Il materiale raccolto viene preparato sotto directory temporanee con pattern /tmp/sync* e compresso nell’archivio /tmp/osalogging.zip. MacSync divide successivamente il file in più chunk e li invia tramite richieste HTTP PUT eseguite con curl --data-binary. I parametri upload_id, chunk_index e total_chunks, insieme al percorso /gate?buildtxd=, permettono a Microsoft di distinguere la fase di esfiltrazione dal semplice beaconing verso il C2. Completato l’upload, il malware cancella archivi, cartelle di staging, lock file e altri artefatti per ridurre le tracce sul disco. Questa sequenza rende particolarmente importante correlare eventi apparentemente ordinari: accesso simultaneo a molti file sensibili, creazione di un archivio temporaneo, traffico PUT generato da curl e successiva cancellazione. È un modello che conferma l’evoluzione degli stealer moderni verso raccolte molto più ampie delle sole password, simile per finalità al Dolphin X Stealer capace di colpire centinaia di applicazioni e selezionare i dati di maggiore valore, pur attraverso una catena tecnica differente.

Oltre 30 domini emergono dai pattern che non cambiano

Il risultato principale della ricerca Microsoft non è il numero dei domini, ma il metodo utilizzato per identificarli. Gli operatori di MacSync sostituiscono rapidamente il C2, rendendo fragile la difesa basata esclusivamente su blacklist e IoC statici. Microsoft ha quindi correlato process ancestry, righe di comando, URI, header HTTP e parametri di upload, collegando più di 30 domini alla stessa attività. Tra i pattern ricorrenti compaiono /curl/, /dynamic?txd=, /gate?buildtxd=, un header api-key, User-Agent macOS e opzioni curl come -k, -s, --max-time e --data-binary. RST Cloud aveva precedentemente osservato anche una chiave API statica condivisa da quattro C2 confermati, mentre il build token cambiava tra le distribuzioni. L’approccio comportamentale riduce il rischio che un semplice cambio di dominio faccia perdere visibilità sulla campagna e sposta quindi il monitoraggio dall’indirizzo dell’attaccante al modo in cui il malware comunica.

macOS 26.4 prova a interrompere ClickFix prima dell’infezione

Sul piano difensivo, Microsoft indica come priorità la riduzione dell’esecuzione volontaria di comandi nel Terminale e il monitoraggio delle catene che combinano zsh, curl, osascript, Base64 e gunzip. In macOS 26.4 e versioni successive, Apple ha introdotto un avviso che può bloccare l’incolla di comandi ritenuti potenzialmente malevoli nel Terminale e spiegare all’utente che la tecnica viene utilizzata nelle truffe. XProtect può inoltre impedire l’esecuzione di script riconosciuti come dannosi. Una volta superata la fase iniziale, la ricerca deve concentrarsi su accessi anomali al Keychain, archivi creati in /tmp, lettura di chiavi SSH e credenziali cloud e traffico HTTP PUT con i parametri caratteristici di MacSync. Microsoft Defender XDR include rilevamenti dedicati per suspicious AppleScript activity, credential access, archive creation ed exfiltration tramite curl. La ricerca mostra così un limite delle difese basate sui soli IoC: contro un infostealer che cambia continuamente dominio, processi, sequenze operative e forma delle richieste di rete restano indicatori più durevoli dell’infrastruttura che li ospita.