Microsoft deckt Infrastruktur auf: Über 30 Domains mit MacSync Stealer verknüpft

Der MacSync Stealer greift gezielt macOS-Systeme an. Microsoft hat mehr als 30 wechselnde Domains identifiziert, die zum Abfluss sensibler Daten dienen.

Sicherheitsexperten von Microsoft Defender haben ein Netzwerk aus mehr als 30 Web-Domains aufgedeckt, das aktiv für Angriffskampagnen mit der macOS-Schadsoftware „MacSync Stealer“ genutzt wird. Die Infektion beginnt in der Regel über sogenannte ClickFix-Methoden (Social Engineering), bei denen Opfer dazu verleitet werden, bösartige Befehle manuell in die macOS-Terminal-Mappe (zsh) einzufügen.

Einmal ausgeführt, nutzt die Schadsoftware Systemwerkzeuge wie curl, osascript (AppleScript), Base64 und gunzip, um weitere Komponenten nachzuladen und sensible Daten abzugreifen. Im Visier der Angreifer stehen unter anderem:

• Zugangsdaten & Schlüssel: macOS-Schlüsselbund (Keychain), Browser-Anmeldedaten, Cookies und SSH-Schlüssel.
• Entwickler- & Cloud-Konfigurationen: AWS-Zugangsdaten (Amazon Web Services) sowie Kubernetes-Konfigurationsdateien.
• Persönliche Dokumente: Apple Notes, Browser-Historie und vertrauliche Dateien aus Benutzerverzeichnissen.

Die gestohlenen Daten werden lokal unter /tmp/osalogging.zip komprimiert, in mehrere Teile aufgespalten und per HTTP-PUT-Request über curl an die Server der Angreifer übertragen.

Verknüpfung rotierender Domains durch Verhaltensmuster

Trotz ständig wechselnder Server-Infrastrukturen gelang es Microsoft, die Angriffe über charakteristische Verhaltensmuster auf Endgeräten und im Netzwerk nachzuverfolgen. Zu den Wiedererkennungsmerkmalen zählen spezifische Anfragepfade (wie /curl/, /dynamic?txd= oder /gate?buildtxd=), feste API-Key-Header sowie identische Parameter bei der Übertragung zerlegter Datenpakete.

Die Erkenntnisse bauen auf früheren Analysen des Sicherheitsdienstleisters RST Cloud auf und bestätigen, dass die Angreifer nicht nur Test-Signale („Beacons“) senden, sondern aktiv Daten in großem Umfang stehlen.

Empfohlene Schutzmaßnahmen gegen MacSync Stealer

Zur Abwehr der Bedrohung raten Sicherheitsexperten zu folgenden Schritten:

• Sensibilisierung: Anwender darauf hinweisen, niemals unüberprüfte Terminal-Befehle von Websites, aus Chats oder Dokumenten zu kopieren und auszuführen.
• Prozess-Überwachung: Ungewöhnliche Terminal- und zsh-Sitzungen sowie verdächtige curl-Uploads mit Parametern zur Paketzerlegung kontinuierlich überwachen.
• Nutzung moderner Systemfunktionen: Aktualisierung auf macOS 26.4 oder neuer, da neuere Betriebssystemversionen integrierte Schutzmechanismen wie Warnungen beim Einfügen von Terminal-Befehlen und erweiterte XProtect-Analysen bieten.

(red)