In einem am 5. August veröffentlichten Bericht beschreibt Microsoft, wie sich die Infrastruktur während der Beobachtung verändert hat. Frühere Seiten legten die ClickFix-Anweisungen, die Logik für die Zwischenablage, den verschleierten Shell-Befehl und die codierte Staging-Adresse noch direkt im HTML offen. Das machte es statischen Scannern vergleichsweise leicht, die Kette zu rekonstruieren.

Die neue Schranke verlagert diese Entscheidung auf den Server. Ein rund 2,5 KByte großes JavaScript sammelt dazu Merkmale des Browsers und Geräts, darunter Werte aus dem navigator-Objekt wie die Plattformkennung, die auf einem echten Mac als MacIntel erscheinen sollte. Hinzu kommen Bildschirm- und Fenstermaße sowie WebGL-Grafiksignale, mit denen sich laut Microsoft echte Apple-Hardware von virtuellen Maschinen oder emulierten Umgebungen unterscheiden lässt.

Geprüft werden außerdem die Zeitzone, die Einbettung der Seite in ein iframe und die Unterstützung für Touch-Eingaben, die Desktop-Macs in der Regel nicht melden. Zwei weitere Prüfungen zielen gezielt auf Analysten: ein Zähler, der ansteigt, wenn die Entwicklerkonsole des Browsers geöffnet ist, sowie ein Aufruf von canPlayType(“video/mp4”), den die Betreiber laut Microsoft als Stolperdraht zweckentfremden, um Tarnbrowser zu erkennen, die Codec-Unterstützung per JavaScript vortäuschen. Das Paket trägt die Kennzeichnung mode:“php” und wird ohne Nutzerinteraktion an den Server zurückgesendet.

Erst dort fällt die Entscheidung, welche Seite ein Besucher zu sehen bekommt. Ein Crawler, eine Sandbox oder ein Besucher aus einem unerwünschten Standort kann eine leere Seite, eine gefälschte Browser-Erweiterung oder eine themenfremde Unternehmensseite erhalten. Ein Aufruf, der wie ein echter Mac im erwarteten Kontext aussieht, landet auf einer an GitHub angelehnten „Für macOS herunterladen“-Seite mit gefälschtem Siegel für einen „verifizierten Herausgeber“.

Microsoft Security Research und der leitende Sicherheitsforscher Srinivasan Govindarajan warnen in dem Bericht, dass eine harmlos wirkende oder ähnlich aussehende Antwort nicht bedeute, dass eine Domain sicher sei. Da die Auswahl serverseitig für jede einzelne Anfrage erfolge, könnten zwei Besuche derselben Adresse vollständig unterschiedliche Seiten zurückliefern.

Nach Angaben von Microsoft wurden im Beobachtungszeitraum mehr als 250 Frontend-Domains bestätigt. Viele davon kombinieren das Wort „file“ mit Wörterbuchbegriffen, etwa filecopperbasket[.]sbs und applefilevault[.]com. Microsoft betont jedoch, dass dieses Muster allein nur ein Ansatz für die Suche sei. Aussagekräftiger sei die Kombination aus Wegwerf-Domains, gemeinsamem Infrastrukturverhalten und der Fingerprinting-Schranke.

Führt ein Opfer den Befehl aus, kontaktiert dieser einen Pfad nach dem Muster /curl/<id>, lädt weitere Skripte nach und startet in der von Microsoft untersuchten Kette schließlich AMOS. Der größere Domain-Cluster habe auch MacSync verteilt, allerdings ordnete Microsoft nicht jede einzelne Domain einem konkreten Schadprogramm zu.

Für die Erkennung empfiehlt Microsoft, nach Browsing mit anschließender ungewöhnlicher Terminal-Aktivität zu suchen, insbesondere nach curl, das in zsh geleitet wird, Base64-Decodierung, osascript sowie Archiv-Erstellung mit nachfolgenden ausgehenden HTTP-POST-Anfragen. Weil die schädliche Seite nur qualifizierten Besuchern gezeigt werde, sollten Verteidiger laut Microsoft eher die Schranke als die dahinterliegende Malware jagen: also selbstabsendende Fingerprinting-Formulare, versteckte Fingerprinting-Felder und das Artefakt mode:“php” beobachten sowie die gemeinsame Staging-Infrastruktur und /curl/-Pfade blockieren, statt flüchtigen Frontend-Domains hinterherzulaufen.

Apple veröffentlichte am 24. März 2026 macOS 26.4 und dokumentierte die Schutzmechanismen am 3. August ausführlich. Terminal zeigt demnach eine Bestätigungsabfrage für Nutzer, die es seit mehr als 30 Tagen nicht geöffnet haben, keine üblichen Entwicklerwerkzeuge installiert haben und Inhalte aus Browsern oder Messenger-Apps einfügen. XProtect kann darüber hinaus in jeden Terminal-Emulator eingefügte Befehle nachverfolgen, deren Prozessbaum und Netzwerkspuren untersuchen und Aktivitäten blockieren, die mit bekannter Malware in Verbindung stehen.

Microsoft ordnet die Entwicklung als Fortsetzung eines Wandels ein, den das Unternehmen bereits im Mai dokumentiert hatte: macOS-Infostealer-Kampagnen setzen demnach zunehmend auf per Terminal ausgeführte Befehle zum Nachladen entfernter Skripte, statt ein Disk-Image zur manuellen Installation auszuliefern.