Microsoft powiązał ponad 30 domen z infrastrukturą MacSync Stealer atakującą macOS

Wprowadzenie do problemu / definicja

MacSync Stealer to złośliwe oprogramowanie typu infostealer zaprojektowane z myślą o systemie macOS. Jego głównym zadaniem jest kradzież danych uwierzytelniających, zawartości pęku kluczy, plików użytkownika oraz sekretów związanych z pracą deweloperską i środowiskami chmurowymi.

Najnowsze ustalenia wskazują, że operatorzy tego zagrożenia wykorzystują rotującą infrastrukturę domenową. Taki model utrudnia wykrywanie kampanii wyłącznie na podstawie pojedynczych wskaźników kompromitacji, ponieważ domeny mogą być szybko podmieniane bez zmiany ogólnego sposobu działania malware.

W skrócie

Microsoft powiązał ponad 30 rotujących domen z infrastrukturą MacSync Stealer, analizując korelację zdarzeń endpointowych i sieciowych zamiast opierać się tylko na reputacji adresów. Zaobserwowany łańcuch infekcji często rozpoczynał się od socjotechniki zgodnej ze schematem ClickFix, w której ofiara uruchamiała polecenie w Terminalu.

Następnie wykorzystywano natywne narzędzia systemowe, takie jak curl, Base64, gunzip i osascript, aby pobrać, rozpakować i uruchomić kolejne etapy ataku. Malware zbierał dane z Keychain, przeglądarek, Apple Notes, klucze SSH, poświadczenia AWS oraz konfiguracje Kubernetes, a potem eksfiltrował je na serwery operatora.

Kontekst / historia

MacSync Stealer był już wcześniej obserwowany w kampaniach wymierzonych w użytkowników macOS. Ataki często bazowały na fałszywych stronach pobierania, reklamach lub przynętach, które miały skłonić ofiarę do samodzielnego uruchomienia komendy w Terminalu.

To podejście jest szczególnie niebezpieczne, ponieważ omija klasyczny model dostarczenia malware za pomocą podejrzanego instalatora. Zamiast tego atakujący przenoszą część procesu wykonania na użytkownika, który wykonuje pozornie legalne instrukcje.

Wcześniejsze analizy wskazywały, że mimo częstej rotacji domen infrastruktura MacSync zachowuje powtarzalne cechy komunikacji z serwerami kontrolnymi. Najnowsze ustalenia rozszerzają ten obraz, pokazując, że skuteczne wykrywanie wymaga łączenia wielu artefaktów telemetrycznych w spójny profil zagrożenia.

Analiza techniczna

Zaobserwowany łańcuch ataku zaczynał się od interaktywnej sesji zsh w Terminalu. To silny wskaźnik scenariusza ClickFix, w którym użytkownik zostaje nakłoniony do wklejenia i uruchomienia przygotowanego polecenia.

Kolejny etap obejmował pobranie danych z infrastruktury atakującego przy użyciu curl, często z wykorzystaniem charakterystycznych ścieżek URL. Następnie stosowano natywne mechanizmy dekodowania i rozpakowania, w tym Base64 oraz gunzip, co pozwalało ograniczyć liczbę podejrzanych plików binarnych pozostawianych na systemie.

Istotną rolę odgrywał również osascript, czyli interpreter AppleScript. Dzięki temu operatorzy mogli wykonywać część logiki ataku przy użyciu legalnych komponentów systemowych, co utrudniało wykrywanie oparte wyłącznie na sygnaturach.

Po uruchomieniu MacSync Stealer zbierał szeroki zakres danych, w tym:

• informacje o hoście i użytkowniku,
• zawartość macOS Keychain,
• dane logowania, cookies i historię z przeglądarek,
• notatki z Apple Notes,
• klucze SSH,
• poświadczenia AWS,
• konfiguracje Kubernetes,
• wrażliwe pliki z katalogów użytkownika.

Zebrane informacje były przygotowywane lokalnie w katalogach tymczasowych, kompresowane do archiwum, a następnie dzielone na fragmenty. Eksfiltracja odbywała się przy użyciu żądań HTTP PUT, co sugeruje dojrzały i powtarzalny mechanizm transferu danych nawet przy niestabilnej infrastrukturze C2.

Z perspektywy obrony kluczowe znaczenie ma fakt, że domeny ulegały rotacji, ale zachowanie malware pozostawało podobne. Oznacza to, że skuteczne wykrywanie powinno bazować na analizie sekwencji procesów, parametrów żądań, wzorców stagingu i eksfiltracji, a nie wyłącznie na listach blokowanych domen.

Konsekwencje / ryzyko

Ryzyko związane z MacSync Stealer jest szczególnie wysokie w organizacjach, w których komputery Mac są wykorzystywane przez administratorów, programistów oraz zespoły DevOps. Kradzież kluczy SSH, poświadczeń chmurowych i konfiguracji środowisk może prowadzić do wtórnej kompromitacji infrastruktury firmowej.

W praktyce oznacza to możliwość przejęcia repozytoriów kodu, dostępu do systemów produkcyjnych, danych klientów oraz kont w usługach chmurowych. Jedna skutecznie zainfekowana stacja robocza może stać się punktem wejścia do znacznie szerszego środowiska.

Dodatkowym zagrożeniem jest socjotechniczny charakter kampanii. Organizacje skupione wyłącznie na blokowaniu klasycznych plików wykonywalnych mogą nie wykryć sytuacji, w której użytkownik sam inicjuje wykonanie złośliwego łańcucha w Terminalu.

Rekomendacje

Podstawowym krokiem powinno być wdrożenie zasad zabraniających kopiowania i uruchamiania poleceń Terminala z niezweryfikowanych stron, komunikatorów i wiadomości e-mail. W kampaniach tego typu świadomość użytkowników odgrywa kluczową rolę.

Od strony technicznej warto monitorować następujące zachowania:

• nietypowe sesje Terminal, zsh i innych powłok,
• użycie curl do pobierania i wysyłania danych metodą HTTP PUT,
• sekwencje obejmujące Base64, gunzip, osascript i tworzenie archiwów w katalogach tymczasowych,
• dostęp do Keychain, przeglądarek, plików chmurowych i katalogów użytkownika w krótkim czasie,
• ruch wychodzący do nowych lub krótko żyjących domen.

W rozwiązaniach EDR warto budować reguły korelacyjne łączące ancestry procesów, argumenty linii poleceń, ścieżki URI i wzorce eksfiltracji danych. Szczególnie wartościowe będą detekcje obejmujące transfer dzielony na fragmenty oraz nietypowe użycie AppleScript.

Administratorzy powinni również zadbać o aktualność mechanizmów ochronnych macOS, w tym funkcji ograniczających ryzyko uruchamiania podejrzanych poleceń z wykorzystaniem schowka oraz dodatkowych zabezpieczeń związanych ze skryptami.

Podsumowanie

Sprawa MacSync Stealer pokazuje, że nowoczesna obrona systemów macOS wymaga analizy zachowań, a nie tylko obserwacji pojedynczych wskaźników kompromitacji. Rotujące domeny, wykorzystanie legalnych narzędzi systemowych i socjotechnika oparta na Terminalu tworzą model ataku odporny na proste mechanizmy reputacyjne.

Dla zespołów bezpieczeństwa najważniejszy wniosek jest jasny: skuteczna detekcja powinna łączyć telemetrię endpointową i sieciową, monitorować aktywność powłoki oraz chronić sekrety deweloperskie i chmurowe przechowywane na stacjach roboczych. To właśnie użytkownicy techniczni pozostają tutaj najcenniejszym celem dla operatorów infostealerów.

Źródła

1. The Hacker News — https://thehackernews.com/2026/08/microsoft-links-30-rotating-domains-to.html
2. RST Cloud — MacSync Stealer: C2 Infrastructure Rotation — https://www.rstcloud.com/macsync-stealer-c2-infrastructure-rotation/
3. Microsoft Security Blog — Infostealers without borders: macOS, Python stealers, and platform abuse — https://www.microsoft.com/en-us/security/blog/2026/02/02/infostealers-without-borders-macos-python-stealers-and-platform-abuse/
4. Microsoft Community Hub — Hunting Infostealers – macOS Threats — https://techcommunity.microsoft.com/blog/microsoftsecurityexperts/hunting-infostealers—macos-threats/4494435
5. Apple Support — Terminal and script protections — https://support.apple.com/pl-pl/guide/security/sece3b202c4b/web