MacSync Stealer : Microsoft identifie 31 domaines utilisés pour cibler macOS

Un réseau identifié en suivant le comportement du malware

Microsoft Defender Experts a établi un lien entre 31 domaines et l’infrastructure de MacSync Stealer, un infostealer conçu pour dérober des informations sur des ordinateurs macOS. L’analyse, publiée le 18 août 2026, ne repose pas uniquement sur la réputation des noms d’hôte : Microsoft a suivi l’ensemble de la chaîne d’attaque, de la récupération du payload à l’exfiltration des données.

La corrélation a pris en compte plusieurs éléments techniques :

• processus parent et généalogie des processus ;
• schémas de ligne de commande ;
• chemins URI ;
• en-têtes HTTP ;
• paramètres utilisés pour le transfert ;
• contexte d’exécution au sein du système d’exploitation.

Cette approche a permis de distinguer les serveurs réellement impliqués des domaines simplement suspects. Microsoft a en effet observé de véritables transferts d’informations vers l’extérieur, et pas seulement du beaconing ou des communications de commande et contrôle.

Le nombre de victimes et l’identité du groupe criminel précisément responsable restent inconnus.

L’attaque commence par une commande collée dans le Terminal

La compromission observée débute par une session interactive du Terminal utilisant zsh. Ce mécanisme correspond à ClickFix, une technique d’ingénierie sociale qui incite l’utilisateur à copier-coller des commandes dans le Terminal.

La commande peut être présentée comme une solution à un problème technique ou comme une instruction reçue depuis un site web, un message, une application, un fichier ou lors d’un appel téléphonique. Pensant effectuer une vérification ou une correction, l’utilisateur déclenche en réalité la chaîne d’infection.

La première étape utilise curl pour télécharger du contenu contrôlé par l’attaquant. Le chemin /curl/, parfois suivi d’un jeton, revient régulièrement. Le contenu est ensuite traité avec des outils déjà présents sur le système, notamment Base64 et gunzip, afin de décoder ou de décompresser le payload sans recourir nécessairement à des composants visibles.

osascript lance les éléments basés sur AppleScript. La même séquence fait apparaître des commandes telles que sh, cp, rm et killall, utilisées pour exécuter le script, déplacer des fichiers, terminer des processus et effacer des traces.

Le malware collecte ensuite des informations locales, les organise dans des fichiers temporaires et prépare leur envoi à distance. La chaîne osascript → accès aux données sensibles → création de l’archive → trafic sortant constitue l’un des principaux éléments utiles à la détection.

Identifiants, clés et données personnelles ciblés

MacSync recherche un large éventail d’informations présentes dans le compte macOS. Les cibles incluent notamment :

• données d’identification de l’hôte et de l’utilisateur ;
• contenu du trousseau macOS ;
• identifiants et cookies des navigateurs ;
• données de session et historique ;
• contenu d’Apple Notes ;
• clés SSH ;
• identifiants AWS ;
• configurations Kubernetes ;
• fichiers sensibles dans les répertoires utilisateur les plus courants.

Security Affairs a également signalé la recherche de données associées aux portefeuilles Ledger et Trezor. Ce détail ne figure pas dans la liste fournie directement par Microsoft et doit donc être considéré séparément.

L’impact peut largement dépasser le seul Mac compromis. Les identifiants AWS, les clés SSH et les configurations Kubernetes peuvent fournir un point d’accès à des infrastructures cloud, des dépôts, des systèmes d’administration et des environnements de développement. Les cookies et jetons de session peuvent quant à eux permettre d’abuser de comptes déjà authentifiés, sans nécessiter forcément le mot de passe.

Staging, découpage en fragments et upload via HTTP PUT

Les données dérobées sont d’abord déposées dans des répertoires temporaires correspondant au schéma /tmp/sync*. MacSync crée ensuite l’archive /tmp/osalogging.zip.

L’archive est divisée en plusieurs parties, puis transférée avec curl au moyen de requêtes HTTP PUT. Microsoft a observé l’utilisation de :

• --data-binary ;
• en-têtes contenant une clé API ;
• User-Agent typiques de macOS ;
• paramètre upload_id ;
• paramètre chunk_index ;
• paramètre total_chunks ;
• chemins tels que /gate?buildtxd= ;
• autres URI, notamment /dynamic?txd=.

La combinaison de l’archivage, du découpage en fragments et de l’upload PUT a permis de confirmer l’exfiltration. Il ne s’agit donc pas seulement d’une infection qui contacte un serveur distant : les données sont effectivement collectées et transmises.

À la fin du transfert, le malware supprime les archives temporaires, les répertoires de staging, les fichiers de verrouillage et d’autres artefacts. Ce nettoyage réduit les éléments persistants sur le disque, mais n’efface pas nécessairement les traces comportementales laissées par les processus et les requêtes réseau.

La liste publiée par Microsoft comprend les 31 domaines suivants :

aihealthring[.]com
cabinrentalsnc[.]com
chatbasedos[.]com
commercialroofingsd[.]com
dogtrainersgeorgia[.]com
fintelliganceai[.]com
homeinspectionsdelaware[.]com
intopython[.]com
lalandscapelighting[.]com
lumenagnet[.]com
marbellaresales[.]com
miamipcsupport[.]com
moldinspectiondayton[.]com
nailscanai[.]com
newjerseypetsitter[.]com
numericagent[.]com
oaklandwaterdamage[.]com
oklahomawarehousing[.]com
olympiapetemergency[.]com
peaecagent[.]com
plasmaticsystems[.]com
plethorawallet[.]com
premierrentalpurchase[.]com
ricewaterbeauty[.]com
rvieragent[.]com
sandiegotkd[.]com
secueragent[.]com
shiledagent[.]com
syracusefertilitycenter[.]com
vastbets[.]com
wvaeagent[.]com

Cette liste correspond aux indicateurs observés lors d’une phase donnée de l’activité. Elle n’est pas exhaustive et pourrait rapidement devenir obsolète : la rotation des noms d’hôte rend peu efficace une défense reposant uniquement sur le blocage des domaines.

Le lien avec RST Cloud et ClickFix

L’analyse de Microsoft vient compléter une étude publiée par RST Cloud le 8 mai. Celle-ci avait identifié une clé API statique sur quatre domaines C2 confirmés et onze autres domaines candidats. Elle avait également documenté les chemins /dynamic?txd= et /gate?buildtxd=, ainsi que la rotation du jeton hexadécimal associé à la build.

Certains domaines candidats présentaient des fenêtres d’envoi qui se chevauchaient. Cette observation était compatible avec des opérations C2 parallèles, et non avec un remplacement strictement séquentiel des noms d’hôte.

Quatre domaines désormais inclus dans la liste de Microsoft figuraient déjà parmi les candidats identifiés par RST Cloud :

• lalandscapelighting[.]com ;
• lumenagnet[.]com ;
• nailscanai[.]com ;
• numericagent[.]com.

RST Cloud les avait associés aux schémas URI, mais ne les avait pas classés comme confirmés par clé API, faute d’échantillons suffisants permettant de vérifier la correspondance avec la clé statique. Microsoft confirme l’utilisation récurrente d’en-têtes de clé API, mais ne publie pas la valeur statique mentionnée dans l’analyse précédente et n’affirme pas qu’elle soit identique sur l’ensemble des domaines.

L’opération s’inscrit dans l’écosystème plus large de ClickFix visant macOS. Le 5 août 2026, Microsoft avait signalé plus de 250 domaines front-end impliqués dans une campagne distribuant MacSync et Atomic Stealer, notamment au moyen d’un fingerprinting du navigateur effectué côté serveur.

Les deux ensembles ne doivent toutefois pas être considérés comme identiques. Il n’a pas été établi que les domaines front-end de cette campagne plus vaste correspondent aux 31 domaines identifiés grâce aux pivots comportementaux sur MacSync.

Comment détecter et bloquer la chaîne d’infection

Les utilisateurs ne doivent pas coller dans le Terminal des commandes reçues depuis des pages web, des chats, des applications, des fichiers ou des interlocuteurs téléphoniques non vérifiés. Une demande d’exécuter une longue instruction zsh constitue un signal de risque, surtout lorsqu’elle intervient dans le cadre d’une supposée procédure d’assistance.

Sur le plan défensif, Microsoft recommande de surveiller :

• les sessions inhabituelles du Terminal, de zsh ou d’autres shells ;
• les téléchargements effectués avec curl, suivis d’un décodage ou d’une décompression ;
• les exécutions de osascript ;
• les accès au trousseau après l’exécution de commandes collées par l’utilisateur ;
• les fichiers situés sous /tmp/sync* ;
• la création de /tmp/osalogging.zip ;
• les requêtes HTTP PUT utilisant --data-binary ;
• les paramètres upload_id, chunk_index et total_chunks ;
• les URI /gate et /dynamic ;
• le trafic vers des domaines suspects ou récemment enregistrés.

Il est préférable de corréler les processus, les fichiers et le trafic réseau plutôt que de s’appuyer sur un indicateur unique. Les domaines peuvent changer, tandis que la séquence opératoire du malware laisse généralement des schémas plus persistants.

Apple documente également trois protections disponibles dans macOS 26.4 et les versions ultérieures : les avertissements contre le collage dans le Terminal, le blocage des commandes provenant du presse-papiers et l’analyse des scripts AppleScript.

Après 24 heures suivant la configuration initiale, l’avertissement du Terminal s’applique dans certaines conditions : lorsque l’utilisateur ne l’a pas ouvert depuis plus de 30 jours, qu’aucun outil de développement courant n’est détecté et que le contenu provient, par exemple, d’un navigateur ou d’une application de messagerie.

XProtect peut analyser l’arbre des processus généré par les commandes collées, vérifier les artefacts réseau via Apple Safe Browsing Service et bloquer les comportements associés à des techniques de malware connues. Apple inspecte également localement les exécutions d’AppleScript et de JavaScript for Automation, y compris les scripts directement chargés en mémoire.