Nach Microsoft beginnt die beobachtete Ausführung in einer interaktiven zsh-Terminal-Sitzung, was zu einer ClickFix-basierten Social-Engineering-Masche passe. Anschließend lädt curl über den wiederkehrenden Pfad /curl/ Inhalte von einer von Angreifern kontrollierten Quelle nach. Zum Dekodieren oder Entpacken der Nutzlast kommen dabei native Werkzeuge wie Base64 und gunzip zum Einsatz.
Die eigentliche Nutzlast verwendet osascript für eine AppleScript-gestützte Ausführung und greift daneben auf native macOS- und Unix-Werkzeuge zurück. Anschließend sammelt die Malware Host- und Benutzerinformationen, Material aus dem macOS-Schlüsselbund, Browser-Zugangsdaten und Cookies, Sitzungsdaten, Apple-Notizen, Secure-Shell-Schlüssel, Zugangsdaten für Amazon Web Services, Kubernetes-Konfigurationen, den Browserverlauf sowie sensible Dateien aus typischen Benutzerverzeichnissen.
Die erfassten Daten werden unter /tmp/sync* zwischengespeichert, in /tmp/osalogging.zip komprimiert, in mehrere Teile zerlegt und dann mit curl per HTTP-PUT hochgeladen. Microsoft nennt dabei wiederkehrende Parameter wie upload_id, chunk_index und total_chunks. Nach der Exfiltration entfernt die Malware temporäre Archive, Staging-Verzeichnisse, Sperrdateien und weitere Spuren.
Für die Zuordnung der Infrastruktur setzte Microsoft nach eigenen Angaben nicht auf einzelne Indikatoren, sondern auf die Kombination mehrerer Merkmale. Zu den wiederkehrenden Netzwerkeigenschaften zählen demnach die Pfade /curl/, /dynamic?txd= und /gate?buildtxd=, macOS-User-Agent-Zeichenfolgen, API-key-Header sowie HTTP-PUT-Uploads mit denselben Parametern zur Verwaltung der Datenfragmente. Diese Anfrageformen verknüpften die Forscher mit dem Ausführungskontext auf dem Endpunkt, um zusammengehörige Infrastruktur trotz wechselnder Domains zu identifizieren.
Die Offenlegung baut auf einer Analyse von RST Cloud vom 8. Mai auf. Das Unternehmen dokumentierte damals einen statischen API-Schlüssel über vier bestätigte Command-and-Control-Domains hinweg und identifizierte 11 weitere Kandidaten-Domains anhand der wiederkehrenden URI-Muster /dynamic?txd= und /gate?buildtxd=. Mehrere dieser Kandidaten zeigten überlappende Einsendezeiträume, was laut RST Cloud eher zu einem parallelen Betrieb von C2-Systemen passe als zu einer streng nacheinander rotierenden Nutzung verschiedener Hostnamen. „Das hexadezimale Build-Token rotiert pro Bereitstellung, der API-Schlüssel nicht“, erklärte RST Cloud.
Ein Abgleich der beiden veröffentlichten Indikatorensätze durch The Hacker News zeigte, dass vier von Microsoft nun gelistete Domains bereits in RST Clouds Kandidaten-Cluster aus dem Mai auftauchten: lalandscapelighting[.]com, lumenagnet[.]com, nailscanai[.]com und numericagent[.]com. RST Cloud hatte diese Domains als an URI-Muster gebunden eingestuft, nicht als per API-Schlüssel bestätigt, weil nach eigenen Angaben keine Samples von jeder Kandidaten-Domain vorlagen, um die Übereinstimmung des statischen API-Schlüssels zu verifizieren.
Microsoft beschreibt API-key-Header ebenfalls als wiederkehrendes Merkmal von MacSync, nennt in dem Beitrag vom 18. August aber weder den von RST Cloud dokumentierten statischen Wert noch, ob derselbe Wert bei allen Domains des aktuellen Satzes auftaucht. Microsoft veröffentlichte außerdem punktuelle Domain-Indikatoren, die in Aktivitäten beobachtet wurden, die mit MacSync Stealer übereinstimmen.
Apple hat separat drei Schutzmechanismen für macOS 26.4 und neuer beschrieben: Schutz beim Einfügen in Terminal, Blockierung von Befehlen aus der Zwischenablage und Prüfung von AppleScript. Nach einer 24-stündigen Schonfrist nach der ersten Einrichtung greift die Terminal-Warnung, wenn ein Nutzer Terminal seit mehr als 30 Tagen nicht geöffnet hat, keine gängige Entwicklerwerkzeuge erkannt werden und der eingefügte Inhalt aus einer festgelegten Anwendung wie einem Webbrowser oder einer Messaging-App stammt. XProtect kann laut Apple den Prozessbaum von eingefügten Terminal-Befehlen nachverfolgen, zugehörige Netzwerkspuren mit Apples Safe Browsing Service abgleichen und Verhalten blockieren, das bekannten Malware-Techniken entspricht. Auch Ausführungen von AppleScript und JavaScript for Automation werden lokal geprüft, einschließlich Skripten, die direkt aus dem Speicher gestartet werden.
Die Veröffentlichung folgt auf einen weiteren Microsoft-Bericht von vor weniger als zwei Wochen. Darin hatte das Unternehmen nach eigenen Angaben mehr als 250 Frontend-Domains in einer macOS-ClickFix-Kampagne bestätigt, die MacSync und Atomic Stealer (AMOS) hinter einer serverseitigen Browser-Fingerprinting-Schleuse verteilte. Der Bericht vom 18. August sagt allerdings nicht, dass diese Frontend-Domains mit dem nun identifizierten Satz von mehr als 30 Domains identisch sind.