MacSync Stealer: Microsoft identifiziert 31 für Angriffe auf macOS genutzte Domains

Ein Netzwerk, das durch das Verhalten der Malware entdeckt wurde

Microsoft Defender Experts hat 31 Domains der Infrastruktur von MacSync Stealer zugeordnet, einem Infostealer, der auf den Diebstahl von Informationen von macOS-Computern ausgelegt ist. Die Analyse wurde am 18. August 2026 veröffentlicht und basiert nicht ausschließlich auf der Reputation der Hostnamen: Microsoft verfolgte die gesamte Angriffskette – vom Abruf der Payload bis zur Datenexfiltration.

Für die Korrelation wurden verschiedene technische Merkmale berücksichtigt:

• Elternprozess und Prozessgenealogie;
• Muster der Befehlszeile;
• URI-Pfade;
• HTTP-Header;
• für die Übertragung verwendete Parameter;
• Ausführungskontext im Betriebssystem.

Dieser Ansatz ermöglichte es, tatsächlich beteiligte Server von bloß verdächtigen Domains zu unterscheiden. Microsoft beobachtete konkrete Datenübertragungen nach außen und nicht nur Beaconing oder Command-and-Control-Kommunikation.

Weder die Zahl der Opfer noch die Identität der verantwortlichen kriminellen Gruppe sind bekannt.

Der Angriff beginnt mit einem in Terminal eingefügten Befehl

Die beobachtete Kompromittierung beginnt mit einer interaktiven zsh-Terminalsitzung. Das Vorgehen entspricht ClickFix, einer Social-Engineering-Technik, bei der Nutzer dazu gebracht werden, Befehle in das Terminal zu kopieren und einzufügen.

Der Befehl kann als Lösung für ein technisches Problem oder als Anweisung präsentiert werden, die über eine Website, eine Nachricht, eine Anwendung, eine Datei oder einen Telefonanruf übermittelt wurde. Im Glauben, eine Prüfung oder Fehlerbehebung durchzuführen, startet der Nutzer stattdessen die Infektionskette.

Im ersten Schritt wird curl verwendet, um vom Angreifer kontrollierte Inhalte herunterzuladen. Häufig tritt dabei der Pfad /curl/ auf, teilweise gefolgt von einem Token. Anschließend wird der Inhalt mit bereits im System vorhandenen Werkzeugen wie Base64 und gunzip verarbeitet, um die Payload zu dekodieren oder zu entpacken, ohne zwingend auffällige Komponenten einzusetzen.

osascript startet die auf AppleScript basierenden Elemente. In derselben Sequenz erscheinen Befehle wie sh, cp, rm und killall, die zum Ausführen des Skripts, Verschieben von Dateien, Beenden von Prozessen und Löschen von Spuren dienen.

Anschließend sammelt die Malware lokale Informationen, legt sie in temporären Dateien ab und bereitet die Übertragung an einen entfernten Server vor. Die Kette osascript → Zugriff auf sensible Daten → Erstellung des Archivs → ausgehender Datenverkehr ist eines der wichtigsten Erkennungsmerkmale.

Anmeldeinformationen, Schlüssel und persönliche Daten im Visier

MacSync sucht nach einer Vielzahl von Informationen im macOS-Konto. Zu den Zielen gehören:

• Identifikationsdaten von Host und Benutzer;
• Inhalte des macOS-Schlüsselbunds;
• Browser-Anmeldeinformationen und Cookies;
• Sitzungsdaten und Verlauf;
• Inhalte von Apple Notes;
• SSH-Schlüssel;
• AWS-Anmeldeinformationen;
• Kubernetes-Konfigurationen;
• sensible Dateien in den gängigen Benutzerverzeichnissen.

Security Affairs berichtete außerdem über die Suche nach Daten im Zusammenhang mit Ledger- und Trezor-Wallets. Dieses Detail ist nicht in der direkt von Microsoft bereitgestellten Liste enthalten und sollte daher getrennt betrachtet werden.

Die Auswirkungen können weit über den einzelnen Mac hinausgehen. AWS-Anmeldeinformationen, SSH-Schlüssel und Kubernetes-Konfigurationen können Zugriff auf Cloud-Infrastrukturen, Repositorys, Administrationssysteme und Entwicklungsumgebungen ermöglichen. Cookies und Sitzungstoken können dagegen den Missbrauch bereits authentifizierter Konten erlauben, ohne dass zwangsläufig ein Passwort erforderlich ist.

Staging, Chunks und Upload per HTTP PUT

Die gestohlenen Daten werden zunächst in temporären Verzeichnissen abgelegt, die dem Muster /tmp/sync* entsprechen. Anschließend erstellt MacSync das Archiv /tmp/osalogging.zip.

Das Archiv wird in mehrere Teile aufgeteilt und per curl über HTTP-PUT-Anfragen übertragen. Microsoft beobachtete dabei:

• --data-binary;
• Header mit einem API-Key;
• typische macOS-User-Agents;
• den Parameter upload_id;
• den Parameter chunk_index;
• den Parameter total_chunks;
• Pfade wie /gate?buildtxd=;
• weitere URIs, darunter /dynamic?txd=.

Die Kombination aus Archivierung, Aufteilung in Chunks und PUT-Upload bestätigte die Exfiltration. Es handelt sich somit nicht lediglich um eine Infektion, die einen entfernten Server kontaktiert: Die Daten werden tatsächlich gesammelt und übertragen.

Nach Abschluss der Übertragung löscht die Malware temporäre Archive, Staging-Verzeichnisse, Lock-Dateien und weitere Artefakte. Dadurch werden dauerhafte Spuren auf dem Datenträger reduziert. Die von Prozessen und Netzwerkanfragen hinterlassenen Verhaltensspuren verschwinden dadurch jedoch nicht zwangsläufig.

Die von Microsoft veröffentlichte Liste umfasst diese 31 Domains:

aihealthring[.]com
cabinrentalsnc[.]com
chatbasedos[.]com
commercialroofingsd[.]com
dogtrainersgeorgia[.]com
fintelliganceai[.]com
homeinspectionsdelaware[.]com
intopython[.]com
lalandscapelighting[.]com
lumenagnet[.]com
marbellaresales[.]com
miamipcsupport[.]com
moldinspectiondayton[.]com
nailscanai[.]com
newjerseypetsitter[.]com
numericagent[.]com
oaklandwaterdamage[.]com
oklahomawarehousing[.]com
olympiapetemergency[.]com
peaecagent[.]com
plasmaticsystems[.]com
plethorawallet[.]com
premierrentalpurchase[.]com
ricewaterbeauty[.]com
rvieragent[.]com
sandiegotkd[.]com
secueragent[.]com
shiledagent[.]com
syracusefertilitycenter[.]com
vastbets[.]com
wvaeagent[.]com

Die Liste stellt die in einer bestimmten Phase der Aktivitäten beobachteten Indikatoren dar. Sie ist nicht vollständig und kann schnell veralten: Durch die Rotation der Hostnamen ist eine Verteidigung, die ausschließlich auf dem Blockieren von Domains beruht, nur eingeschränkt wirksam.

Die Verbindung zu RST Cloud und ClickFix

Die Microsoft-Analyse erweitert eine am 8. Mai veröffentlichte Untersuchung von RST Cloud. Dabei wurde ein statischer API-Key in vier bestätigten C2-Domains sowie in weiteren elf potenziellen Domains identifiziert. Außerdem dokumentierte RST Cloud die Pfade /dynamic?txd= und /gate?buildtxd= sowie die Rotation des hexadezimalen, mit dem Build verknüpften Tokens.

Bei einigen potenziellen Domains überschnitten sich die Zeitfenster der Übertragungen. Dies entsprach eher parallelen C2-Aktivitäten als einer strikt sequenziellen Ablösung der Hostnamen.

Vier der inzwischen von Microsoft aufgeführten Domains waren bereits unter den von RST Cloud genannten Kandidaten:

• lalandscapelighting[.]com;
• lumenagnet[.]com;
• nailscanai[.]com;
• numericagent[.]com.

RST Cloud hatte sie anhand der URI-Muster zugeordnet, sie jedoch mangels ausreichender Samples nicht über den API-Key als bestätigt eingestuft. Microsoft bestätigt die wiederholte Verwendung von API-Key-Headern, veröffentlicht jedoch weder den in der früheren Analyse genannten statischen Wert noch die Aussage, dass er auf allen Domains identisch ist.

Die Operation ist Teil des größeren ClickFix-Ökosystems für macOS. Am 5. August 2026 meldete Microsoft mehr als 250 beteiligte Frontend-Domains in einer Kampagne, die MacSync und Atomic Stealer verteilte – unter anderem mithilfe serverseitig durchgeführten Browser-Fingerprinting.

Die beiden Gruppen dürfen jedoch nicht als identisch betrachtet werden. Es wurde nicht festgestellt, dass die Frontend-Domains der größeren Kampagne mit den 31 Domains übereinstimmen, die durch verhaltensbasierte Pivotierungen zu MacSync identifiziert wurden.

So lässt sich die Infektionskette erkennen und blockieren

Nutzer sollten keine Befehle in das Terminal einfügen, die sie von nicht verifizierten Webseiten, Chats, Anwendungen, Dateien oder Anrufern erhalten haben. Die Aufforderung, eine lange zsh-Anweisung auszuführen, ist ein Warnsignal – insbesondere im Rahmen eines vermeintlichen Supportvorgangs.

Aus Sicht der Abwehr empfiehlt Microsoft, Folgendes zu überwachen:

• ungewöhnliche Terminal-, zsh- oder Shell-Sitzungen;
• Downloads mit curl, auf die eine Dekodierung oder Dekomprimierung folgt;
• die Ausführung von osascript;
• Zugriffe auf den Schlüsselbund nach vom Benutzer eingefügten Befehlen;
• Dateien unter /tmp/sync*;
• die Erstellung von /tmp/osalogging.zip;
• HTTP-PUT-Anfragen mit --data-binary;
• die Parameter upload_id, chunk_index und total_chunks;
• die URIs /gate und /dynamic;
• Datenverkehr zu verdächtigen oder erst kürzlich registrierten Domains.

Prozesse, Dateien und Netzwerkaktivitäten sollten miteinander korreliert werden, statt sich auf einen einzelnen Indikator zu verlassen. Domains können wechseln, während die operative Sequenz der Malware meist beständigere Muster hinterlässt.

Apple dokumentiert außerdem drei Schutzmechanismen, die unter macOS 26.4 und späteren Versionen verfügbar sind: Warnungen beim Einfügen in das Terminal, das Blockieren von Befehlen aus der Zwischenablage und die Prüfung von AppleScript-Skripten.

24 Stunden nach der Ersteinrichtung wird die Terminal-Warnung unter bestimmten Bedingungen angewendet: wenn der Nutzer das Terminal seit mehr als 30 Tagen nicht geöffnet hat, keine gängigen Entwicklungswerkzeuge erkannt werden und der Inhalt beispielsweise aus einem Browser oder einer Messaging-Anwendung stammt.

XProtect kann den von eingefügten Befehlen erzeugten Prozessbaum analysieren, Netzwerkartefakte über den Apple Safe Browsing Service prüfen und Verhaltensweisen blockieren, die mit bekannten Malware-Techniken verbunden sind. Apple überprüft außerdem lokal die Ausführung von AppleScript und JavaScript for Automation, einschließlich direkt im Speicher geladener Skripte.