Microsoft liên kết hơn 30 tên miền xoay vòng với hạ tầng MacSync Stealer
"Microsoft Defender Experts linked more than 30 rotating domains to the MacSync Stealer macOS information-stealer infrastructure by correlating endpoint execution with recurring network patterns such as /curl/, /dynamic?txd=, /gate?buildtxd=, API-key headers, and chunked HTTP PUT uploads. The malware is reported to use ClickFix-style social engineering, then collect credentials, browser data, SSH keys, cloud configs, and other sensitive files before staging them in /tmp and exfiltrating them; no CVE was disclosed, and Microsoft provided detection and user-awareness guidance rather than a software patch."
Đây là chiến dịch thu thập thông tin xác thực và exfiltration dữ liệu trên macOS, có thể ảnh hưởng đến Keychain, SSH keys và cloud credentials. Việc hạ tầng xoay vòng tên miền làm tăng độ khó cho phát hiện và chặn lọc.
Rủi ro chính là rò rỉ tài khoản và truy cập trái phép vào dịch vụ đám mây, có thể dẫn đến gián đoạn vận hành hoặc lộ dữ liệu nội bộ. Do không có bản vá phần mềm cụ thể, doanh nghiệp cần ưu tiên giám sát hành vi và nâng cao nhận thức người dùng.
Microsoft Defender Experts cho biết đã liên kết hơn 30 tên miền với hạ tầng của MacSync Stealer trên macOS bằng cách đối chiếu hành vi trên endpoint và mẫu lưu lượng mạng lặp lại. Các dấu hiệu được nêu gồm các đường dẫn như /curl/, /dynamic?txd=, /gate?buildtxd=, tiêu đề API-key, và tải lên theo kiểu HTTP PUT chia mảnh.
Theo phân tích, chuỗi tấn công thường bắt đầu từ phiên zsh Terminal tương tác, có thể liên quan đến kỹ thuật ClickFix để lừa người dùng chạy lệnh. Sau đó mã độc thu thập mật khẩu, dữ liệu trình duyệt, SSH keys, cấu hình AWS và Kubernetes, cùng các tệp nhạy cảm khác; dữ liệu được tạm lưu trong /tmp trước khi bị exfiltrate.
Microsoft cho biết chưa công bố số nạn nhân và không gán cho một tác nhân cụ thể. Công ty khuyến nghị tổ chức không chạy lệnh từ nguồn không tin cậy, giám sát các phiên shell bất thường, theo dõi hoạt động curl với tham số chia mảnh, và điều tra các kết nối tới tên miền đáng ngờ hoặc mới đăng ký. Apple cũng đã nêu các biện pháp bảo vệ trên macOS 26.4+ như Terminal paste protection, pasteboard command blocking và AppleScript scanning.