MacSync Stealer: Microsoft identifica 31 domini usati per colpire macOS

Una rete individuata seguendo il comportamento del malware

Microsoft Defender Experts ha collegato 31 domini all’infrastruttura di MacSync Stealer, un infostealer progettato per sottrarre informazioni da computer macOS. L’analisi è stata pubblicata il 18 agosto 2026 e non si basa soltanto sulla reputazione degli hostname: Microsoft ha seguito l’intera catena dell’attacco, dal recupero del payload all’esfiltrazione dei dati.

La correlazione ha considerato diversi elementi tecnici:

• processo padre e genealogia dei processi;
• pattern della riga di comando;
• percorsi URI;
• intestazioni HTTP;
• parametri usati per il trasferimento;
• contesto di esecuzione sul sistema operativo.

Questo approccio ha permesso di distinguere i server effettivamente coinvolti da semplici domini sospetti. Microsoft ha osservato infatti trasferimenti reali di informazioni verso l’esterno, non soltanto beaconing o comunicazioni di comando e controllo.

Non sono noti né il numero delle vittime né l’identità dello specifico gruppo criminale responsabile.

L’attacco parte da un comando incollato nel Terminale

La compromissione osservata comincia con una sessione interattiva di zsh Terminal. Il meccanismo è coerente con ClickFix, una tecnica di social engineering che induce l’utente a copiare e incollare comandi nel Terminale.

Il comando può essere presentato come una soluzione a un problema tecnico o come un’istruzione ricevuta da un sito, un messaggio, un’applicazione, un file o una telefonata. L’utente, convinto di eseguire una verifica o una correzione, avvia invece la catena d’infezione.

Il primo passaggio utilizza curl per scaricare contenuti controllati dall’attaccante. Tra i percorsi ricorrenti compare /curl/, talvolta seguito da un token. Il contenuto viene poi elaborato con strumenti già presenti nel sistema, tra cui Base64 e gunzip, così da decodificare o scompattare il payload senza ricorrere necessariamente a componenti evidenti.

osascript avvia gli elementi basati su AppleScript. Nella stessa sequenza compaiono comandi come sh, cp, rm e killall, utilizzati per eseguire lo script, spostare file, terminare processi e cancellare tracce.

Il malware raccoglie quindi informazioni locali, le organizza in file temporanei e prepara l’invio remoto. La catena osascript → accesso ai dati sensibili → creazione dell’archivio → traffico in uscita costituisce uno dei principali elementi utili al rilevamento.

Credenziali, chiavi e dati personali nel mirino

MacSync cerca un insieme ampio di informazioni presenti nell’account macOS. Tra gli obiettivi figurano:

• dati identificativi dell’host e dell’utente;
• contenuti del portachiavi macOS;
• credenziali e cookie dei browser;
• dati di sessione e cronologia;
• contenuti di Apple Notes;
• chiavi SSH;
• credenziali AWS;
• configurazioni Kubernetes;
• file sensibili nelle directory utente più comuni.

Security Affairs ha inoltre riferito la ricerca di dati collegati ai wallet Ledger e Trezor. Questo dettaglio non compare nell’elenco fornito direttamente da Microsoft e va quindi considerato separatamente.

L’impatto può estendersi ben oltre il singolo Mac. Credenziali AWS, chiavi SSH e configurazioni Kubernetes possono offrire un punto d’accesso a infrastrutture cloud, repository, sistemi amministrativi e ambienti di sviluppo. Cookie e token di sessione possono invece consentire l’abuso di account già autenticati, senza richiedere necessariamente la password.

Staging, chunk e upload tramite HTTP PUT

I dati sottratti vengono inizialmente depositati in directory temporanee riconducibili al pattern /tmp/sync*. In seguito MacSync crea l’archivio /tmp/osalogging.zip.

L’archivio viene suddiviso in più parti e trasferito con curl attraverso richieste HTTP PUT. Microsoft ha osservato l’uso di:

• --data-binary;
• intestazioni contenenti una API key;
• User-Agent tipici di macOS;
• parametro upload_id;
• parametro chunk_index;
• parametro total_chunks;
• percorsi come /gate?buildtxd=;
• ulteriori URI, tra cui /dynamic?txd=.

La combinazione tra archivio, suddivisione in chunk e upload PUT ha consentito di confermare l’esfiltrazione. Non si tratta quindi soltanto di un’infezione che contatta un server remoto: i dati vengono effettivamente raccolti e inviati.

Al termine del trasferimento, il malware elimina archivi temporanei, directory di staging, file di lock e altri artefatti. Questa pulizia riduce le evidenze persistenti sul disco, ma non cancella necessariamente la traccia comportamentale lasciata dai processi e dalle richieste di rete.

L’elenco pubblicato da Microsoft comprende questi 31 domini:

aihealthring[.]com
cabinrentalsnc[.]com
chatbasedos[.]com
commercialroofingsd[.]com
dogtrainersgeorgia[.]com
fintelliganceai[.]com
homeinspectionsdelaware[.]com
intopython[.]com
lalandscapelighting[.]com
lumenagnet[.]com
marbellaresales[.]com
miamipcsupport[.]com
moldinspectiondayton[.]com
nailscanai[.]com
newjerseypetsitter[.]com
numericagent[.]com
oaklandwaterdamage[.]com
oklahomawarehousing[.]com
olympiapetemergency[.]com
peaecagent[.]com
plasmaticsystems[.]com
plethorawallet[.]com
premierrentalpurchase[.]com
ricewaterbeauty[.]com
rvieragent[.]com
sandiegotkd[.]com
secueragent[.]com
shiledagent[.]com
syracusefertilitycenter[.]com
vastbets[.]com
wvaeagent[.]com

L’elenco rappresenta gli indicatori osservati in una determinata fase dell’attività. Non è esaustivo e potrebbe diventare rapidamente obsoleto: la rotazione degli hostname rende poco efficace una difesa basata soltanto sul blocco dei domini.

Il collegamento con RST Cloud e con ClickFix

L’analisi Microsoft amplia una ricerca di RST Cloud pubblicata l’8 maggio. Quest’ultima aveva individuato una API key statica in quattro domini C2 confermati e altri 11 domini candidati. Aveva inoltre documentato i percorsi /dynamic?txd= e /gate?buildtxd=, insieme alla rotazione del token esadecimale associato alla build.

Alcuni domini candidati presentavano finestre temporali di invio sovrapposte. Il dato era compatibile con operazioni C2 parallele, non con una sostituzione rigidamente sequenziale degli hostname.

Quattro domini ora inclusi nell’elenco Microsoft erano già comparsi tra i candidati di RST Cloud:

• lalandscapelighting[.]com;
• lumenagnet[.]com;
• nailscanai[.]com;
• numericagent[.]com.

RST Cloud li aveva associati ai pattern URI, ma non li aveva classificati come confermati tramite API key perché non disponeva di campioni sufficienti per verificare la corrispondenza della chiave statica. Microsoft conferma l’uso ricorrente di intestazioni API key, ma non pubblica il valore statico citato nell’analisi precedente né afferma che sia identico su tutti i domini.

L’operazione rientra nel più ampio ecosistema ClickFix per macOS. Il 5 agosto 2026 Microsoft aveva segnalato oltre 250 domini front-end coinvolti in una campagna che distribuiva MacSync e Atomic Stealer, anche tramite fingerprinting del browser eseguito lato server.

I due insiemi non devono però essere considerati coincidenti. Non è stato stabilito che i domini front-end della campagna più ampia siano gli stessi 31 identificati attraverso i pivot comportamentali su MacSync.

Come individuare e bloccare la catena d’infezione

Gli utenti non dovrebbero incollare nel Terminale comandi ricevuti da pagine web, chat, applicazioni, file o interlocutori telefonici non verificati. Una richiesta di eseguire una lunga istruzione in zsh è un segnale di rischio, soprattutto se arriva durante una presunta procedura di supporto.

Sul piano difensivo, Microsoft indica di monitorare:

• sessioni insolite di Terminal, zsh o shell;
• download con curl seguiti da decodifica o decompressione;
• esecuzioni di osascript;
• accessi al portachiavi dopo comandi incollati dall’utente;
• file sotto /tmp/sync*;
• creazione di /tmp/osalogging.zip;
• richieste HTTP PUT con --data-binary;
• parametri upload_id, chunk_index e total_chunks;
• URI /gate e /dynamic;
• traffico verso domini sospetti o registrati di recente.

È utile correlare processi, file e rete invece di affidarsi a un singolo indicatore. I domini possono cambiare, mentre la sequenza operativa del malware tende a lasciare pattern più persistenti.

Apple documenta inoltre tre protezioni disponibili su macOS 26.4 e versioni successive: avvisi contro l’incolla nel Terminale, blocco dei comandi provenienti dalla pasteboard e scansione degli script AppleScript.

Dopo 24 ore dalla configurazione iniziale, l’avviso del Terminale viene applicato in specifiche condizioni: quando l’utente non lo ha aperto da oltre 30 giorni, non vengono rilevati strumenti comuni di sviluppo e il contenuto proviene, per esempio, da un browser o da un’applicazione di messaggistica.

XProtect può analizzare l’albero dei processi generato dai comandi incollati, verificare gli artefatti di rete tramite Apple Safe Browsing Service e bloccare comportamenti associati a tecniche malware note. Apple sottopone inoltre a ispezione locale le esecuzioni di AppleScript e JavaScript for Automation, compresi gli script caricati direttamente in memoria.