Ta strona używa plików cookies, aby zapewnić najlepszą jakość korzystania z naszego serwisu oraz do celów analitycznych. Klikając "Akceptuję", wyrażasz zgodę na używanie wszystkich plików cookies. Możesz również odrzucić zgodę, co spowoduje zablokowanie plików cookies analitycznych. Więcej informacji znajdziesz w naszej Polityce Prywatności.
MacSync Stealer zmienia domeny, ale zostawia ślady. Microsoft połączył ponad 30 adresów
MacSync Stealer wykorzystuje rotujące domeny do dostarczania ładunku, komunikacji i wykradania danych.
Microsoft połączył ponad 30 domen dzięki powtarzalnym cechom aktywności na urządzeniach i w sieci.
Złośliwe oprogramowanie atakuje między innymi dane pęku kluczy, przeglądarek, chmur, SSH oraz pliki użytkowników.
Najtrwalsze sygnały wykrywania obejmują kontekst uruchomienia, wzorce żądań, staging danych i fragmentowane wysyłanie archiwów.
Sponsorowane
Odkryj rewolucyjną metodę nauki języków
Sprawdź jak w 30 dni opanować podstawy dowolnego języka obcego bez wychodzenia z domu.
MacSync Stealer, złośliwe oprogramowanie skoncentrowane na systemie macOS, szybko zmienia wykorzystywane domeny, aby utrudnić wykrycie i blokowanie aktywności. Taka rotacja nie wystarczyła jednak do ukrycia całego schematu działania. Microsoft Defender Experts przeanalizował dane z urządzeń końcowych i ruch sieciowy, a następnie połączył ponad 30 domen na podstawie powtarzalnych cech aktywności. Wyniki opisano na blogu Microsoft Security. Analiza pokazuje, że w przypadku zmiennej infrastruktury skuteczniejsze od śledzenia samych domen może być korelowanie zachowania procesów, sposobu budowania żądań, dostępu do danych, przygotowania archiwów i ich wysyłania.
Rotacja domen nie ukryła całego łańcucha ataku
MacSync Stealer wykorzystywał zmienną infrastrukturę na kilku etapach. Służyła ona do dostarczania ładunku, komunikacji z zainfekowanymi urządzeniami oraz odbierania zebranych informacji. Wcześniejsze doniesienia RST Cloud opisywały zagrożenie na podstawie ograniczonego zestawu domen i wskazywały, że po publicznym ujawnieniu aktywności infrastruktura C2 była szybko wymieniana. Microsoft rozszerzył ten obraz, szukając elementów, które pozostawały niezmienne niezależnie od użytej domeny.
W centrum analizy znalazły się powtarzające się punkty końcowe, sposób uruchamiania procesów i charakterystyka komunikacji. Badacze nie traktowali pojedynczej domeny jako wystarczającego dowodu powiązania. Za związane z
Słownik artykułu
Pojęcia, które warto znać
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
uznawano te elementy infrastruktury, przy których jednocześnie występowało kilka zgodnych cech widocznych w telemetrii urządzeń i sieci. Takie podejście ogranicza ryzyko pomyłki wynikającej z podobieństwa jednego wskaźnika i pozwala śledzić aktywność także po zmianie adresów.
Ponad 30 domen połączono dzięki zgodności wielu cech procesu i komunikacji.
Aktywność obejmowała nie tylko kontakt z serwerem C2, lecz także zbieranie, staging i wysyłanie danych.
Powtarzały się między innymi ścieżki żądań, nagłówki, sposób użycia narzędzia curl oraz parametry przesyłania fragmentów.
Największą wartość śledczą miało połączenie zdarzeń procesowych, plikowych i sieciowych w jeden łańcuch.
Początek aktywności wiązał się z socjotechniką
Zaobserwowany łańcuch rozpoczynał się w interaktywnej sesji powłoki zsh, co Microsoft wiąże ze schematem ClickFix. Użytkownik może zostać nakłoniony do wklejenia lub uruchomienia polecenia w Terminalu, często pod pozorem naprawy problemu, weryfikacji urządzenia albo wykonania instrukcji przekazanej przez stronę internetową, komunikator, aplikację, plik lub rozmówcę. W opisanej aktywności narzędzie curl pobierało treść z infrastruktury kontrolowanej przez atakujących, a następnie następowało wykonanie skryptowe i nawiązanie komunikacji wychodzącej.
Kolejne etapy korzystały z natywnych mechanizmów dostępnych w macOS. Łańcuch obejmował między innymi dekodowanie lub rozpakowywanie pobranej treści, uruchamianie poleceń przez osascript oraz działania powłoki związane z kopiowaniem, tworzeniem katalogów, usuwaniem plików i kończeniem procesów. Dla obrońców ważny jest nie pojedynczy program, lecz kolejność zdarzeń. Interaktywne użycie Terminala, pobranie treści przez curl, uruchomienie AppleScript i szybkie przejście do komunikacji sieciowej tworzą wzorzec, który może pozostać widoczny nawet po zmianie domeny.
Microsoft wskazuje, że w żądaniach sieciowych regularnie powtarzały się określone ścieżki URI, charakterystyczne nagłówki z kluczem API, ciągi identyfikujące macOS oraz zestaw opcji narzędzia curl. Wskaźniki te były przydatne, ponieważ łączyły kontekst punktu końcowego z kształtem ruchu sieciowego. Samo wystąpienie jednego z nich nie musi oznaczać infekcji, ale zgodność kilku elementów, a także ich umiejscowienie w sekwencji po uruchomieniu powłoki, może uzasadniać dalsze sprawdzenie urządzenia.
Cel stanowiły poświadczenia, przeglądarki i pliki użytkownika
Po uruchomieniu MacSync Stealer zbierał informacje o urządzeniu i użytkowniku, sprawdzał aktywne procesy oraz szczegóły systemu. Analiza wskazała także na poszukiwanie lokalnych artefaktów związanych z aplikacjami portfeli kryptowalut, w tym Ledger i Trezor. Złośliwe oprogramowanie interesowało się danymi przechowywanymi w pęku kluczy macOS, kluczami Safe Storage używanymi przez przeglądarki, poświadczeniami, ciasteczkami, bazami logowania i informacjami sesyjnymi.
Zakres zainteresowania był szerszy niż same przeglądarki. Wśród obserwowanych celów znalazły się dane Safari, Apple Notes, historia przeglądania, profile przeglądarek, magazyny rozszerzeń oraz katalogi IndexedDB i LevelDB. MacSync Stealer szukał również kluczy SSH, poświadczeń AWS, konfiguracji Kubernetes i wrażliwych plików w typowych katalogach użytkownika. Oznacza to, że skutki takiej aktywności mogą dotyczyć nie tylko prywatności, lecz także dostępu do usług chmurowych, środowisk deweloperskich i innych systemów, których dane uwierzytelniające były zapisane lokalnie.
Istotnym elementem analizy jest rozróżnienie między samym beaconingiem, czyli okresowym sygnalizowaniem obecności, a faktyczną eksfiltracją. W przypadku MacSync Stealer zebrane informacje trafiały najpierw do tymczasowego obszaru stagingu, gdzie były kompresowane do archiwum. Następnie archiwum dzielono na fragmenty i wysyłano przez żądania HTTP PUT. W komunikacji powtarzały się parametry wskazujące identyfikator przesyłania, numer bieżącego fragmentu oraz łączną liczbę fragmentów. Te elementy pozwalały połączyć pobranie danych, przygotowanie pliku i późniejszy ruch wychodzący.
Zbierane informacje obejmowały dane pęku kluczy, przeglądarek, ciasteczka, bazy logowania i dane sesyjne.
Wśród celów znalazły się także klucze SSH, poświadczenia AWS, konfiguracje Kubernetes oraz wrażliwe pliki użytkownika.
Dane były kompresowane, dzielone na fragmenty i wysyłane przez infrastrukturę zmieniającą domeny.
Późniejsze usuwanie archiwów, katalogów tymczasowych i plików pomocniczych miało ograniczać ślady pozostawione na dysku.
Najskuteczniejsze wykrywanie opiera się na korelacji
Wnioskiem z analizy jest przesunięcie uwagi z pojedynczych wskaźników na zachowanie całego łańcucha. Domeny, adresy i inne IOC mogą szybko stracić aktualność, gdy operator zagrożenia wymieni infrastrukturę. Trudniej zmienić wszystkie elementy procesu jednocześnie, zwłaszcza gdy kampania opiera się na tych samych narzędziach systemowych, podobnym sposobie pobierania treści, identycznym modelu przesyłania danych i zbliżonym przebiegu działań na urządzeniu. Dlatego polowanie na zagrożenia może łączyć dane o rodzicu procesu, argumentach uruchomienia, dostępie do plików, tworzeniu archiwum i żądaniach sieciowych.
W badanej aktywności szczególną wartość miało zestawienie uruchomienia AppleScript z działaniami powłoki, pobraniem treści, dostępem do wrażliwych lokalizacji oraz późniejszym wysyłaniem danych. Taki wzorzec powinien być oceniany w kontekście użytkownika, urządzenia i czasu. Sam curl może być legalnie używany przez administratorów lub aplikacje, podobnie jak osascript, narzędzia archiwizujące i operacje na plikach tymczasowych. Sygnałem ostrzegawczym staje się dopiero ich nietypowe połączenie, szczególnie gdy następuje po interakcji w Terminalu i prowadzi do komunikacji z nieznaną infrastrukturą.
RST Cloud, we wcześniejszej pracy przywołanej przez Microsoft, wykorzystał powtarzalne ścieżki URI do wskazania jedenastu dodatkowych kandydatów na domeny. W czterech potwierdzonych domenach C2 znaleziono także wspólną statyczną wartość klucza API, podczas gdy token kompilacji zmieniał się między wdrożeniami. Ten przykład dobrze pokazuje zarówno użyteczność, jak i ograniczenia wskaźników. Stały element może pomóc w znalezieniu powiązań, ale zmienne tokeny i rotujące domeny sprawiają, że dochodzenie powinno uwzględniać również procesy, pliki, parametry żądań i chronologię zdarzeń.
Co z tego wynika dla użytkowników i organizacji
Pierwszą linią obrony pozostaje ostrożność wobec instrukcji nakłaniających do wklejania poleceń w Terminalu. Użytkownik powinien traktować takie prośby jako potencjalnie niebezpieczne, zwłaszcza gdy pojawiają się na stronie internetowej, w rozmowie z rzekomym konsultantem lub w komunikacie obiecującym szybkie usunięcie problemu. W macOS 26.4 i nowszych Apple wprowadziło mechanizmy mające zakłócać ataki w stylu ClickFix. System może wyświetlić ostrzeżenie i zablokować wklejenie potencjalnie złośliwego polecenia do Terminala, a XProtect może sprawdzać skrypty rozpoznane jako złośliwe i zapobiegać ich uruchomieniu.
Organizacje powinny patrzeć na ten typ zagrożenia szerzej niż przez pryzmat blokowania domen. Przydatne jest zachowanie telemetrii z punktów końcowych i sieci, aby można było połączyć interaktywną sesję powłoki z późniejszym pobraniem treści, uruchomieniem skryptu, dostępem do poświadczeń, utworzeniem archiwum i wysłaniem fragmentów. Reguły detekcji warto dostosować do własnego środowiska, zakresu dozwolonych narzędzi oraz list wyjątków. Analiza Microsoftu podkreśla, że zapytania do zaawansowanego polowania mogą być punktem wyjścia, ale wymagają dopasowania do czasu obserwacji, urządzeń i legalnych zastosowań narzędzi.
W razie podejrzenia takiej aktywności ważne jest zachowanie kontekstu zdarzeń, a nie tylko pojedynczego adresu. Zespół bezpieczeństwa powinien sprawdzić, jaki proces uruchomił powłokę, jakie dane były odczytywane, czy powstało tymczasowe archiwum i czy po nim pojawił się nietypowy ruch wychodzący. Usunięcie plików przez malware nie musi wymazać śladów w logach systemowych, telemetrii procesów ani danych sieciowych. Korelacja tych źródeł może pomóc ustalić przebieg incydentu i ocenić, czy potencjalnie naruszone poświadczenia wymagają unieważnienia lub odtworzenia.
Microsoft przedstawia MacSync Stealer jako przykład zagrożenia, w którym infrastruktura zmienia się szybciej niż podstawowy schemat działania. Ponad 30 powiązanych domen nie jest więc najważniejszym wskaźnikiem samym w sobie, lecz rezultatem zastosowania metodologii opartej na zachowaniu. Dla obrońców oznacza to potrzebę obserwowania całego łańcucha, od interakcji użytkownika i pobrania ładunku, przez dostęp do cennych danych i staging, po fragmentowaną eksfiltrację oraz sprzątanie artefaktów. Taki model może być użyteczny także wtedy, gdy kolejne domeny nie są jeszcze znane.
