Microsoft affirme avoir identifié plus de 30 domaines liés à MacSync Stealer, une menace orientée vers macOS. Dans une publication récente, l’éditeur explique que le rapprochement ne repose pas uniquement sur des indicateurs statiques, mais sur la corrélation de comportements récurrents observés à la fois sur les machines et sur le réseau. Objectif : relier des infrastructures changeantes à une même chaîne d’attaque, malgré la rotation des domaines.
Selon Microsoft, l’enquête suit la progression de la campagne depuis la récupération du contenu malveillant (payload), puis la collecte de données, leur mise en attente (staging) et enfin l’envoi vers l’extérieur. L’entreprise indique aussi que l’activité ne se limite pas à de simples signaux de présence : des transferts de données sortants actifs ont été confirmés.
Pourquoi “30 domaines MacSync” sont considérés comme liés
Le point clé de la démarche de Microsoft est l’alignement de plusieurs traces avant de rattacher un domaine à l’infrastructure MacSync. L’entreprise décrit un ensemble de critères qui, pris ensemble, permettent d’identifier une connexion cohérente, même lorsque l’hôte change.
Parmi les éléments cités, on retrouve notamment l’ascendance des processus (process ancestry), des motifs d’utilisation des lignes de commande, des chemins d’URL récurrents et des en-têtes HTTP. Microsoft mentionne également des paramètres associés à la phase d’envoi des données.
Autrement dit, il ne suffit pas qu’un domaine “ressemble” à une cible : il doit aussi produire, dans le contexte d’exécution observé, des patterns compatibles avec la chaîne de vol d’informations.
De zsh à curl : la chaîne d’exécution observée
D’après l’analyse, l’exécution commence via une session interactive de terminal, plus précisément une session zsh. Microsoft relie cette séquence à un scénario de type ingénierie sociale, cohérent avec des mécanismes décrits précédemment (ClickFix), où l’utilisateur interagit avant que des commandes ne soient lancées.
Ensuite, un outil de récupération basé sur curl est utilisé pour obtenir du contenu contrôlé par l’attaquant. Microsoft souligne la présence d’un chemin d’accès récurrent associé à cette récupération, puis l’usage d’utilitaires natifs macOS et Unix pour préparer et décoder ce qui a été téléchargé.
Dans la suite, le payload s’appuie sur osascript afin de soutenir l’exécution assistée par AppleScript. Cette étape est complétée par des utilitaires système, dont Base64 et gunzip, utilisés pour décoder ou décompresser le contenu avant son déploiement.
Quelles données MacSync cible sur les systèmes
Une fois le payload opérationnel, MacSync Stealer collecte un ensemble large de données. Microsoft cite des informations sur la machine et l’utilisateur, ainsi que du contenu issu de mécanismes de stockage de secrets.
La collecte inclut notamment :
- Les éléments liés au Keychain de macOS
- Des identifiants et cookies de navigateurs
- Des données de session
- Les informations contenues dans Notes Apple
- Les clés SSH
- Des éléments d’identification pour AWS
- Des configurations de Kubernetes
- L’historique de navigation
- Des fichiers sensibles issus de répertoires utilisateurs courants
La menace ne se contente donc pas de “signaler” sa présence : elle vise des artefacts personnels et professionnels, souvent utiles pour de futures actions (compromission de comptes, mouvement latéral, etc.).
Staging, compression et exfiltration via HTTP PUT
Microsoft décrit une logique de préparation des données. Les éléments collectés sont d’abord stages dans un dossier temporaire, puis compressés dans une archive portant un nom cohérent avec le schéma observé (par exemple /tmp/osalogging.zip). Ensuite, l’archive est découpée en plusieurs morceaux avant l’envoi.
Pour l’exfiltration, la menace utilise curl avec des requêtes de type HTTP PUT. Microsoft indique que la requête comprend des paramètres de gestion de morceaux, tels que upload_id, chunk_index et total_chunks, associés à des chemins d’URI récurrents.
Après l’envoi, la menace supprime des traces temporaires : archives, dossiers de staging, fichiers de verrouillage et autres artefacts. Cette hygiène vise à rendre la phase post-exfiltration plus difficile à analyser.
Rotation d’infrastructure : API-key vs hex build token
Le rapport s’appuie sur une analyse antérieure de RST Cloud (datée du 8 mai). Cette étude décrivait notamment un API key statique observé sur quatre domaines C2 confirmés. RST Cloud avait aussi proposé onze domaines supplémentaires, identifiés via des motifs d’URI observés dans des requêtes, liés à des structures d’accès comme /dynamic?txd= et /gate?buildtxd=.
Un détail important ressort de ces travaux : RST Cloud a constaté que plusieurs candidats se recouvrent sur les fenêtres de soumission, ce qui pourrait traduire un fonctionnement en parallèle plutôt qu’une rotation strictement séquentielle des noms d’hôtes. Par ailleurs, l’entreprise note que le hex build token change à chaque déploiement, tandis que l’API key ne changerait pas.
Microsoft, de son côté, évoque des traits réseau récurrents liés à MacSync, notamment certains chemins (comme /curl/ et des URI proches de /dynamic?txd= et /gate?buildtxd=), des chaînes User-Agent côté macOS, des en-têtes API-key et des uploads via HTTP PUT avec les mêmes paramètres de gestion des morceaux.
Exemples de domaines point-in-time publiés par Microsoft
Microsoft liste des indicateurs de domaines observés à un instant donné, compatibles avec l’activité associée à MacSync Stealer. Parmi ceux-ci, on retrouve par exemple :
- aihealthring[.]com
- cabinrentalsnc[.]com
- chatbasedos[.]com
- commercialroofingsd[.]com
- dogtrainersgeorgia[.]com
- fintelliganceai[.]com
- homeinspectionsdelaware[.]com
- intopython[.]com
- lalandscapelighting[.]com
- lumenagnet[.]com
- nailscanai[.]com
- numericagent[.]com
- oatlandwaterdamage[.]com
- oklahomawarehousing[.]com
- olympiapetemergency[.]com
- peaecagent[.]com
- plasmaticsystems[.]com
- plethorawallet[.]com
- premierrentalpurchase[.]com
- ricewaterbeauty[.]com
- rvieragent[.]com
- sandiegotkd[.]com
- secueragent[.]com
- shiledagent[.]com
- syracusefertilitycenter[.]com
- vastbets[.]com
- wvaeagent[.]com
La présence simultanée de plusieurs domaines dans ce type de campagne renforce l’intérêt de la détection comportementale : même si l’infrastructure change, les formes de requêtes et le contexte d’exécution peuvent rester cohérents.
Conseils de Microsoft : réduire le risque et mieux détecter
Microsoft recommande aux organisations de travailler à la fois côté utilisateurs et côté détection technique. L’approche proposée s’articule autour d’actions concrètes.
D’abord, l’entreprise conseille de sensibiliser les utilisateurs : éviter de copier-coller ou d’exécuter des commandes de Terminal provenant de sites, messages, applications ou instructions reçues par téléphone.
Ensuite, Microsoft suggère de surveiller les sessions Terminal/zsh inhabituelles, notamment lorsque des téléchargements, décodages ou exécutions surviennent peu après une interaction de l’utilisateur.
Sur le plan de l’analyse corrélée, l’entreprise recommande de rapprocher des événements : activité shell déclenchée par AppleScript, accès aux magasins de credentials, création d’archives dans des chemins temporaires et connexions sortantes ultérieures.
Enfin, Microsoft propose de porter une attention particulière aux requêtes de type curl avec HTTP PUT, notamment :
- l’usage de –data-binary
- les en-têtes API-key
- les paramètres liés à l’upload (upload_id, chunk_index, total_chunks)
- les motifs d’URI récurrents (par exemple les segments /curl/ et les variantes dynamiques/gate)
En complément, Microsoft recommande d’investiguer les connexions vers des domaines nouveaux ou suspects tout en recherchant les motifs de processus et de requêtes qui peuvent persister même après des changements d’infrastructure.
Protections macOS récentes : paste et AppleScript
En parallèle, Apple documente plusieurs protections disponibles sur macOS version 26.4 et ultérieures. Celles-ci ciblent des vecteurs fréquents d’abus autour du collage de commandes dans le Terminal.
Apple cite notamment :
- la protection contre le collage de Terminal
- le blocage des commandes liées au pasteboard
- la surveillance/inspection d’AppleScript
Apple précise aussi qu’une alerte Terminal peut s’activer après une période de grâce après la configuration initiale du système, avec des conditions liées à l’usage récent du Terminal et à l’origine du collage (par exemple depuis une application comme un navigateur ou une appli de messagerie).
Le système peut tracer l’arbre de processus produit par les commandes collées, vérifier des éléments réseau contre des mécanismes de sécurité Apple, puis bloquer des comportements correspondant à des techniques malveillantes connues. Apple indique également inspecter localement des exécutions d’AppleScript et de JavaScript pour l’automatisation, y compris des scripts exécutés depuis la mémoire.
Contexte : d’autres campagnes ClickFix sur macOS
Cette divulgation arrive dans un calendrier chargé. Moins de deux semaines auparavant, Microsoft avait annoncé avoir confirmé plus de 250 domaines front-end dans une campagne ClickFix sur macOS, associée à des voleurs tels que MacSync et Atomic Stealer (AMOS) via une porte côté serveur basée sur le fingerprinting du navigateur.
Dans le rapport du 18 août, Microsoft ne précise pas si les domaines front-end de cette campagne sont identiques à l’ensemble d’infrastructure de plus de 30 domaines mis en évidence ici par des pivots comportementaux liés à MacSync.
Conclusion : privilégier la détection comportementale
Le rapport met en avant une réalité opérationnelle : les attaquants changent les domaines, mais laissent derrière eux des signaux cohérents. En reliant des structures de requêtes (paths, en-têtes, paramètres d’upload) et le contexte d’exécution (zsh interactif, usage d’osascript, collecte de données), Microsoft explique comment justifier des liens malgré la rotation d’infrastructure.
Pour les organisations, la meilleure stratégie consiste à combiner sensibilisation, supervision des comportements sur endpoint et corrélation réseau. Avec des protections macOS adaptées et des règles de détection orientées patterns, il devient plus difficile pour MacSync Stealer de réussir ses étapes de récupération, de collecte et d’exfiltration.
Source: https://thehackernews.com/2026/08/microsoft-links-30-rotating-domains-to.html
