Microsoft Defender-Experten berichten, dass sie mehr als 30 Webdomains mit dem auf macOS spezialisierten MacSync Stealer verknüpft haben. Der wichtige Punkt: Die Infrastruktur wirkte nicht statisch. Stattdessen wechselten die Domains, während sich wiederkehrende Muster in Endpoint- und Netzwerkverhalten klar wiedererkennen ließen.
In der Untersuchung wird beschrieben, wie die Zuordnung über den gesamten Ablauf hinweg gelang – vom Abruf des Payloads bis hin zu Datensammlung, Zwischenablage und schließlich der Exfiltration. Dabei geht es nicht nur um einzelne Indikatoren, sondern um ein Gesamtbild aus Prozessketten und HTTP-Request-Charakteristika.
Warum rotierende Domains eine Zuordnung trotzdem zulassen
Auch wenn Angreifer Domains austauschen, bleiben oft technische Details bestehen. Microsoft erklärt, dass ein Domain-„Treffer“ erst dann angenommen wurde, wenn mehrere Endpoint- und Netzwerkmerkmale zusammenpassen. Dazu zählen laut Bericht unter anderem:
- Prozess-Ancestry (Prozess-Vorgängerketten)
- typische Muster in Befehlszeilen (Command-Line Patterns)
- Anfragepfade und URI-Formen
- Header-Details
- Upload-Parameter, die in der Kommunikation wiederkehren
Das bedeutet: Selbst wenn die Infrastruktur „rotierte“, konnten Microsofts Analysten über gleichbleibende Spuren im Zusammenspiel von Host und Netzwerk die Verbindung herstellen.
Keine Opferzahl und keine eindeutige Zuordnung zu einem Akteur
Microsoft teilte in dem Bericht, der am Dienstag veröffentlicht wurde, keine konkrete Opferanzahl mit. Außerdem wird die Aktivität nicht einem namentlich bekannten Threat Actor zugeordnet.
Gleichzeitig betont Microsoft, dass die Ermittlungen aktive Datenexfiltration bestätigt hätten – nicht nur das bekannte „Beaconing“, also das periodische Melden an eine Command-and-Control-Infrastruktur.
So startete die Ausführung: zsh, social engineering und curl
Der beobachtete Ablauf begann in einer interaktiven zsh-Terminal-Session, wie sie zu einer Social-Engineering-Mechanik namens ClickFix passt. Von dort aus ließ sich ein Schritt erkennen, bei dem curl wiederholt Content aus einem von Angreifern kontrollierten Ziel abruft.
Microsoft nennt dabei einen wiederkehrenden Pfad: /curl/. Zusätzlich kommen native Tools zum Einsatz, um den Payload-Inhalt weiter aufzubereiten. Genannt werden Funktionen wie Base64-Decoding sowie das gunzip-Entpacken oder das Entpacken nach dem Decoding.
AppleScript-unterstützte Ausführung und Sammlung umfangreicher Daten
Ein weiterer Bestandteil des beschriebenen Chains ist die Nutzung von osascript zur AppleScript-gestützten Ausführung. Laut Analyse arbeitet die Malware dabei mit Kombinationen aus macOS- und Unix-Utilities.
Danach folgt die Datensammlung: Erfasst werden Informationen zu Host und Benutzer, Materialien aus dem macOS-Keychain, Browser-Zugangsdaten sowie Cookies und Session-Daten. Der Bericht geht außerdem auf weitere Quellen ein, darunter:
- Apple Notes
- SSH-Keys
- AWS-Zugangsdaten
- Kubernetes-Konfigurationen
- Browser-Verlauf
- zusätzliche sensible Dateien aus typischen Nutzerverzeichnissen
Damit zielt MacSync Stealer nicht nur auf klassische Browserdaten ab, sondern versucht das Ganze um weitere verwertbare Geheimnisse aus dem Alltag vieler Entwickler- und Power-User-Setups zu erweitern.
Staging, Komprimierung und Upload in Chunks
Die gesammelten Daten werden zunächst unter temporären Pfaden abgelegt, die im Bericht als /tmp/sync* beschrieben werden. Anschließend werden die Daten komprimiert und in ein Archiv wie /tmp/osalogging.zip verpackt.
Wichtig für die Zuordnung in rotierender Infrastruktur: Das Archiv wird in mehrere Teile zerlegt und dann mittels curl per HTTP PUT hochgeladen. Dabei kommen wiederkehrende Parameter für die Chunk-Verwaltung vor, zum Beispiel:
- upload_id
- chunk_index
- total_chunks
Nach erfolgreicher Exfiltration entfernt die Malware temporäre Artefakte. Microsoft nennt als Beispiele das Löschen von temporären Archiven, Staging-Ordnern, Lock-Dateien und weiteren Spuren, um Nachweise lokal zu reduzieren.
Vorarbeit aus der Analyse zu URI-Mustern und Kandidatendomain-Cluster
Die aktuelle Offenlegung baut laut Microsoft auf einer früheren Analyse von RST Cloud vom 8. Mai auf. Dort wurden bereits statische API-Keys über vier bestätigte C2-Domains beschrieben. Zusätzlich wurden 11 weitere Kandidatendomains anhand wiederkehrender URI-Patterns identifiziert.
RST Cloud ordnete diese Kandidaten besonders anhand von URI-Strukturen wie /dynamic?txd= und /gate?buildtxd= ein. In dieser Logik ist ein Detail entscheidend: Während ein Hex-Build-Token je Deployment rotiere, solle der API-Key unverändert bleiben.
Microsofts Bericht nennt anschließend eine Abgleichung zweier Indikator-Sets. Vier Domains, die Microsoft inzwischen listet, tauchten bereits im RST-Cloud-Kandidatcluster auf: lalandscapelighting[.]com, lumenagnet[.]com, nailscanai[.]com und numericagent[.]com.
RST Cloud bewertete sie jedoch als URI-pattern gebunden statt als API-Key bestätigt. Der Grund: Es sei (damals) nicht für jede Kandidatendomain möglich gewesen, Samples zu ziehen, um den statischen API-Key sicher abzugleichen.
Welche Merkmale Microsoft als wiederkehrende Traits beschreibt
Microsoft führt an, dass die API-Key-Header als ein wiederkehrendes Merkmal von MacSync gelten. Gleichzeitig veröffentlicht der August-18-Post laut Bericht jedoch nicht den konkreten statischen Header-Wert, den RST Cloud dokumentiert hatte, und geht auch nicht explizit darauf ein, ob der gleiche Wert über alle Domains des aktuellen Sets identisch sei.
Dennoch gibt es klare wiederkehrende Netzwerkmerkmale, auf die Microsoft hinweist, darunter:
- wiederkehrende Request-Pfade wie /curl/, /dynamic?txd= und /gate?buildtxd=
- macOS User-Agent-Strings
- API-Key-Header
- HTTP-PUT-Uploads mit identischen Chunk-Management-Parametern
Die Forscher kombinieren diese Request-„Shapes“ mit dem Ausführungskontext am Endgerät, um die zusammengehörige Infrastruktur über Domainwechsel hinweg nachzuvollziehen.
Point-in-time Domains: mehr als 30 Verknüpfungen
Microsoft teilt zudem eine Liste von Domains, die in einem bestimmten Zeitpunkt in einer Aktivität beobachtet wurden, die mit MacSync Stealer konsistent ist. Dazu gehören unter anderem:
- aihealthring[.]com
- cabinrentalsnc[.]com
- chatbasedos[.]com
- commercialroofingsd[.]com
- dogtrainersgeorgia[.]com
- fintelliganceai[.]com
- homeinspectionsdelaware[.]com
- intopython[.]com
- lalandscapelighting[.]com
- lumenagnet[.]com
- marbellaresales[.]com
- miamipcsupport[.]com
- moldinspectiondayton[.]com
- nailscanai[.]com
- newjerseypetsitter[.]com
- numericagent[.]com
- oaklandwaterdamage[.]com
- oklahomawarehousing[.]com
- olympiapetemergency[.]com
- peaecagent[.]com
- plasmaticsystems[.]com
- plethorawallet[.]com
- premierrentalpurchase[.]com
- ricewaterbeauty[.]com
- rvieragent[.]com
- sandiegotkd[.]com
- secueragent[.]com
- shiledagent[.]com
- syracusefertilitycenter[.]com
- vastbets[.]com
- wvaeagent[.]com
Hinweis: Die Liste ist als Momentaufnahme („point-in-time“) gedacht und ersetzt keine dynamische Überwachung der zugehörigen Prozess- und Netzwerkmuster.
Empfohlene Maßnahmen: Benutzer schützen und Muster überwachen
Microsoft empfiehlt Organisationen, mehrere Schritte umzusetzen. Im Kern geht es darum, das Social Engineering abzufangen und das Folgeverhalten am Endgerät sowie im Netzwerk zu überwachen:
- Users sensibilisieren: Terminal-Kommandos nicht aus untrusted Quellen übernehmen, etwa aus Webseiten, Chats, Apps, Dateien oder per Telefonanleitung.
- Ungewöhnliche Sessions erkennen: Terminal-, zsh- und Shell-Aktivitäten beobachten, die kurz nach einer Benutzerinteraktion Payload abrufen, dekodieren oder ausführen.
- AppleScript-Chain verknüpfen: AppleScript-unterstützte Shell-Aktivität mit Keychain-Zugriff, Archiv-Erstellung in temporären Pfaden und anschließendem ausgehendem Traffic korrelieren.
- curl-Uploads prüfen: HTTP PUT Uploads mit –data-binary, API-Key-Headern sowie Chunk-Parametern und wiederkehrenden URI-Patterns analysieren.
- Neue oder verdächtige Domains nachverfolgen: Verbindungen zu auffälligen oder neu registrierten Domains untersuchen und dabei auf Request- und Prozessmuster achten, die auch nach Infrastrukturwechseln weiter bestehen könnten.
macOS-Schutzfunktionen: Terminal-Paste-Protection und AppleScript-Scanning
Zusätzlich verweist Microsoft auf macOS-Schutzmaßnahmen, die Apple für Versionen ab macOS 26.4 bereitstellt. Dazu gehören drei Funktionen:
- Terminal paste protection
- Pasteboard command blocking
- AppleScript scanning
Nach einer 24-stündigen Grace-Periode nach der initialen Einrichtung greift ein Terminal-Hinweis, wenn der Nutzer Terminal länger nicht geöffnet hat (mehr als 30 Tage), keine üblichen Developer-Tools erkennbar sind und der Paste aus einer definierten Quelle stammt, etwa aus Browsern oder Messaging-Apps.
XProtect kann dabei die Prozessstruktur nachverfolgten, die durch eingefügte Terminal-Kommandos entsteht, passende Netzwerkartefakte gegen Apples Safe Browsing Service prüfen und Verhalten blockieren, das zu bekannten Malware-Techniken passt. Ebenso werden AppleScript- und JavaScript-for-Automation-Ausführungen lokal inspiziert, einschließlich Skripte, die direkt aus dem Speicher heraus ausgeführt werden.
Einordnung: Zusammenhang zu ClickFix-Kampagnen
Die Veröffentlichung kommt weniger als zwei Wochen nach Microsofts Aussage, dass mehr als 250 Frontend-Domains in einer macOS-ClickFix-Kampagne bestätigt wurden. Diese verteilte MacSync und zusätzlich Atomic Stealer (AMOS) über ein serverseitiges Gate mit Browser-Fingerprinting.
Der aktuelle August-18-Bericht stellt jedoch keine direkte Aussage darüber bereit, ob die Frontend-Domains aus jener Kampagne identisch mit der Infrastruktur sind, die über die rotierenden Domains MacSync behavioral pivotiert wurde.
Fazit: Rotierende Domains sind kein Freifahrtschein
Der Kern der Meldung ist klar: Auch wenn Angreifer Domains austauschen, können sie an konsistenten technischen Mustern festgemacht werden. Microsofts Vorgehen kombiniert wiederkehrende Prozess- und Request-Merkmale, bis eine Verbindung als stimmig bewertet wird. Für die Praxis heißt das: Überwachen Sie nicht nur einzelne Domains, sondern achten Sie besonders auf das Zusammenspiel aus Terminal-/Shell-Verhalten, curl-gestützten HTTP PUT Uploads und den charakteristischen Chunk-Parametern.
Mit Sensibilisierung der Nutzer und passenden macOS-Schutzmechanismen lässt sich das Risiko reduzieren, selbst wenn die Infrastruktur in der Kommunikation weiter rotiert – genau die Herausforderung, die hinter dem Thema rotierende Domains MacSync steckt.
Quelle: https://thehackernews.com/2026/08/microsoft-links-30-rotating-domains-to.html
