Microsoft relie plus de 30 domaines à MacSync Stealer pour macOS avec infiltration de données active

Microsoft a lié plus de trente domaines Web à MacSync Stealer, un programme malveillant axé sur macOS qui vole des informations. Les chercheurs de Microsoft décrivent une chaîne de comportement répétée - de la récupération binaire à la collecte, l'emballage temporaire et l'exfiltration de données - et ont utilisé cette télémétrie combinée pour associer des domaines même si l'infrastructure change. L'entreprise souligne que, pour considérer un domaine connexe, elle a exigé la coïncidence de plusieurs signaux dans le terminal et dans le réseau, tels que la descente des processus, les motifs dans la ligne de commande, les itinéraires et en-têtes HTTP récurrents, et les paramètres d'escalade dans les requêtes PUT. Microsoft n'a pas publié le nombre de victimes ni attribué la campagne à des acteurs identifiés.

Techniquement, les chaînes observées sont claires à plusieurs points. L'exécution commence fréquemment à partir d'une session zsh interactive dans Terminal - un modèle compatible avec la tromperie de type ClickFix qui incite l'utilisateur à coller des commandes - et progresse avec curl en récupérant le contenu contrôlé par l'attaquant à partir de routes récurrentes telles que / curl /. La charge utile est décodée avec les utilitaires natifs (Base64, gunzip) et également publiée par l'intermédiaire d'osascript pour exécuter AppleScript, en plus des commandes Unix conventionnelles. L'activité de collecte comprend les informations sur le système et l'utilisateur, le matériel macOS Keychain, les identifiants de navigateur et les cookies, les sessions, les notes Apple, les clés SSH, les identifiants AWS, les configurations Kubernetes, l'historique de navigation et les fichiers sensibles du répertoire utilisateur.

Les malwares les regroupent sur des routes temporelles telles que / tmp / sync * et les compressent dans un fichier appelé / tmp / osalogging.zip, qui à son tour est cassé et téléchargé par les requêtes HTTP PUT avec des paramètres récurrents de gestion du chunk (upload _ id, chunk _ index, total _ chunks). Après l'exfiltration, le code élimine les fichiers temporaires, les dossiers de mise en scène, les fichiers de verrouillage et d'autres artefacts dans une tentative de nettoyage. Microsoft prétend avoir trouvé exfiltration de données actives, pas seulement la balise.

Des informations antérieures complètent et nuances ce portrait. Une analyse RST Cloud datée du 8 mai a documenté une API à clé statique partagée par quatre domaines confirmés et détecté onze domaines candidats à l'aide de modèles URI tels que / dynamique? txd = et / portail? construire dtxd =. RST Cloud a noté que plusieurs domaines présentaient des fenêtres d'expédition se chevauchant, suggérant un fonctionnement parallèle de plusieurs C2 plutôt qu'une rotation stricte par des noms d'hôte. Le Hacker News a comparé les indicateurs et a constaté qu'au moins quatre domaines cités par Microsoft avaient déjà paru dans l'ensemble de candidats RST Cloud. Microsoft mentionne comme des réseaux récurrents les mêmes modèles de route, les agents Utilisateur-Agent spécifiques à macOS, les en-têtes avec API-key et HTTP PUT augmentent avec les paramètres pour gérer les fragments, mais n'a pas publié la valeur statique de l'API-key documentée par RST Cloud.

Ce qui est confirmé : l'existence d'une famille de voleurs pour macOS qui utilise les techniques d'exécution de Terminal et AppleScript, le stade de la collection d'identifications et de secrets (y compris Keychain, cookies et clés), l'emballage et l'exfiltration par HTTP PUT en fragments, et l'identification de plus de 30 domaines connexes par Microsoft dans une fenêtre spécifique. Ce qui est estimé ou plausible: que les domaines identifiés forment un bouton C2 avec fonctionnement parallèle et qu'une clé API statique est réutilisée dans au moins une partie de l'infrastructure (documentée par RST Cloud dans certains cas). Ce qui suit n'est pas ouvert ou confirmé: le nombre réel de victimes, l'identité ou la motivation de l'opérateur, et si APIkey est identique dans tous les domaines cités par Microsoft.

Les conséquences pratiques pour les organisations et les utilisateurs sont directes. Le vol d'identifiants et de clés SSH ou AWS peut permettre un accès persistant aux comptes, l'extraction de données supplémentaires et l'exécution de charges subséquentes dans l'infrastructure cloud. La combinaison d'accès aux notes, cookies de session et Keychain facilite les mouvements latéraux et l'accès aux services sans casser les mots de passe. Pour les utilisateurs privés, l'exposition peut entraîner la perte de comptes, le vol d'identité et la fuite de renseignements personnels; pour les entreprises, elle peut compromettre les dépôts, les environnements de développement et les ressources en nuage avec un impact économique et opérationnel.

Mesures spécifiques et vérifiables à appliquer par les lecteurs et les équipements de sécurité: ne pas coller ou exécuter des commandes dans Terminal à partir de sources non vérifiées y compris les pages Web, les messages et les appels. Activer et configurer les protections macOS qui atténuent le collage des commandes et l'exécution d'AppleScript; Apple a documenté les améliorations des protections dans les versions récentes du système d'exploitation et des services tels que XProtect qui analysent l'exécution et les scripts artefacts. Dans les environnements de travail, permettre des politiques qui empêchent l'utilisation aveugle de Terminal par les utilisateurs non-développeurs et enregistrer des sessions interactives d'audit shell.

Dans la détection et la chasse, surveiller zsh et autres sessions de coquilles par des commandes qui invoquent la boucle pour télécharger du contenu, utiliser des décodeurs (base64, gunzip) ou appeler l'osascript. Correlate AppleScript exécutions avec accès Keychain, création de fichiers dans / tmp et le trafic sortant vers des domaines suspects. Au niveau du réseau, recherchez des requêtes HTTP PUT avec des corps binaires (--data-binary in curl), des en-têtes de clés d'API inhabituels et des paramètres tels que upload _ id, chunk _ index ou total _ chunks, ainsi que des itinéraires qui correspondent / curl /, / dynamique ? txd = ou / portail? construire dtxd =. Vérifiez les enregistrements de proxy et de passerelles pour ces pistes; ces formes de requête sont un indicateur plus robuste que de consulter un domaine qui peut tourner.

Si vous soupçonnez un engagement, utilisez des preuves : isoler l'équipe, préserver une image médico-légale, examiner les antécédents des coquilles, les dossiers de mise en scène temporaires et les dossiers de processus, et rechercher l'activité ascendante fragmentée de l'hôte. Pour les identifiants et les clés potentiellement exposés, les clés racine SSH et les jetons API immédiatement, remplacez les identifiants de service cloud (AWS, Kubernetes) et forcez la réauthentification des sessions du navigateur si vous avez détecté l'extraction de cookies. Envisager la révocation préventive des clés à haut risque et la révision de l'accès au nuage pour détecter des mouvements anormaux.

Enfin, la détection basée sur le comportement est la façon la plus pratique de faire face à l'évolution rapide de l'infrastructure: Microsoft a pris la décision d'exiger plusieurs signaux avant de marquer les domaines comme étant liés, et la même logique est qu'ils devraient appliquer les défenses d'entreprise et les solutions EDR pour éviter les faux positifs et suivre les mouvements de l'agresseur. Maintenir des systèmes et des signatures à jour, combiner la télémétrie des paramètres avec les dossiers de réseau et le renseignement externe sur les menaces, et donner la priorité à l'éducation des utilisateurs sur les risques de commandement collés et les demandes de soutien trompeuses.

Les rapports publics utiles pour élargir ces informations comprennent les canaux de sécurité des fabricants et l'analyse indépendante; Microsoft publie des détails de ses recherches sur son blog de sécurité ( https: / / www.microsoft.com / sécurité / blog /) et Apple maintient la documentation sur la plate-forme et les protections XProtect sur son portail de sécurité et de support ( https: / / support.apple.com / guide / sécurité / accueil / web). Pour suivre l'analyse comparative des indicateurs, des médias spécialisés comme The Hacker News compilent et contextualisent souvent ces publications ( https: / / thehackernews.com /).