LONDON (IT BOLTWISE) – Microsoft Defender hat mehr als 30 Webdomains mit dem macOS-Infostealer MacSync verknüpft, obwohl die Infrastruktur ständig rotiert. Entscheidend war dabei nicht nur ein statischer Indikator, sondern das Abgleichen wiederkehrender Endpoint- und Netzwerkmuster von Payload-Abruf bis zum Hochladen gestohlener Daten. Das Unternehmen bestätigt aktive Datenexfiltration und beschreibt dabei sehr konkrete Details zu Terminal-, curl- und Upload-Logik. Für Security-Teams wird damit klar: Monitoring muss sich stärker an Prozesspfaden, Request-Shape und Chunk-Management orientieren als an Domainlisten.
Microsoft hat in einem aktuellen Security-Update beschrieben, wie Defender-Analysten mehr als 30 Webdomains mit dem macOS-fokussierten MacSync Stealer in Verbindung gebracht haben, obwohl die Angreifer die Infrastruktur offenbar fortlaufend austauschen. Der Kern der Einordnung liegt dabei in einem forensischen Abgleich wiederkehrender Verhaltenssignale: Erst wenn mehrere Merkmale zusammenpassen, stuft Microsoft eine Domain als „verbunden“ ein. Dazu gehören zum Beispiel Prozess-Historie und Prozess-Ancestry, auffällige Command-Line-Muster, bestimmte Request-Pfade sowie Header- und Upload-Parameter. Dass Microsoft weder eine Opferzahl nennt noch die Aktivität einem namentlich bekannten Threat Actor zuordnet, ändert nichts daran, dass das Vorgehen technisch gut nachvollziehbar und für die Defensive verwertbar ist.
Technisch beginnt die beobachtete Ausführung nach Microsofts Analyse in einer interaktiven zsh-Terminalsession, die zu ClickFix-typischen Social-Engineering-Mustern passt. Von dort ruft curl in einem rekurrenten Pfadkontext Inhalte ab, während native Tools wie Base64 und gunzip beim Decoding oder beim Entpacken der Payload helfen. Zusätzlich greift das Schadprogramm laut Bericht osascript auf AppleScript-Mechanismen zurück, um die weitere Ausführung mit macOS-spezifischen Bordmitteln zu koordinieren. Erst danach folgen die Datensammel- und Stapelphasen: Der Stealer erfasst unter anderem Host- und Nutzerinformationen, Material aus dem macOS Keychain-Store, Browserdaten wie Credentials und Cookies, Session-Informationen sowie Apple Notes. Besonders für viele Unternehmensumgebungen heikel: Neben SSH-Keys werden auch AWS-Zugänge, Kubernetes-Konfigurationen, Browserhistorie sowie weitere sensible Dateien aus typischen Benutzerverzeichnissen abgegriffen.
Im nächsten Schritt wird das gesammelte Material zunächst im Dateisystem vorbereitet und dabei so verpackt, dass es sich effizient transportieren lässt. Microsoft beschreibt die Ablage unter /tmp/sync* und die Kompression in /tmp/osalogging.zip. Anschließend zerlegt der Code das Archiv in mehrere Chunks, entfernt temporäre Artefakte wieder (darunter temporäre Archive, staging folders, Lock-Dateien und weitere Spuren) und nutzt für das Hochladen curl über HTTP PUT-Requests. Für den Upload sind feste, wiederkehrende Parameter dokumentiert: upload_id, chunk_index und total_chunks. Auffällig ist außerdem, dass dabei nicht nur einzelne Header „passen“, sondern auch die URI- und Pfadlogik eine Rolle spielt; Microsoft nennt wiederkehrende Pfade wie /gate URI-Muster und ergänzt dies um Netzwerkmerkmale wie spezifische macOS User-Agent Strings sowie API-key Header, die als wiederkehrendes MacSync-Trait bezeichnet werden.
Die Einordnung durch Microsoft lässt sich zudem in einen breiteren historischen Kontext stellen, weil die Hinweise auf das Rotationsmuster zuvor bereits in einer Analyse eines anderen Forschungsberichts aufgegriffen wurden. Dort wurde am 8. Mai ein statischer API-Schlüssel über vier bestätigte Command-and-Control-Domains beschrieben und zugleich ein Cluster weiterer Kandidaten identifiziert, basierend auf wiederkehrenden URI-Mustern wie /dynamic?txd= und /gate?buildtxd=. Microsofts Update verweist ebenfalls auf eine Logik, bei der Infrastruktur nicht strikt „eins nach dem anderen“ rotiert, sondern mehrere Kandidaten parallel aktiv sein können; überschneidende Submission-Zeitfenster passen dabei zu parallelem Betrieb statt zu sequentiellem Hostnamenwechsel. In der Praxis bedeutet das: Wer nur auf den nächsten Domain-Nachweis reagiert, bleibt regelmäßig zu langsam. Gerade die von Microsoft nun ebenfalls gelisteten Kandidaten (darunter lalandscapelighting[.]com, lumenagnet[.]com, nailscanai[.]com und numericagent[.]com) tauchen bereits in dem früheren Kandidatencluster auf, was die Musterkohärenz über mehrere Veröffentlichungen hinweg stützt.
Für die operative Abwehr ist entscheidend, dass Microsoft sowohl Prozess- als auch Netzwerk- und Automationssignale zusammenführt. Das Unternehmen empfiehlt konkret, Nutzer zu schulen, keine Terminal-Kommandos aus untrusted Quellen wie Webseiten, Chatnachrichten, Apps oder telefonbasierten Anweisungen einzufügen. Gleichzeitig soll das Monitoring ungewöhnliche zsh- und Shell-Sessions erkennen, die Payload abrufen, Inhalte decodieren oder kurze Zeit nach einer Nutzerinteraktion Commands ausführen. Ebenso wichtig ist die Korrelation von AppleScript-gestützter Shell-Aktivität mit Credential-Store-Zugriffen, Archiv-Erstellung in temporären Pfaden und danach ausgehender Netzwerkaktivität. Auf der Netzwerkseite empfiehlt Microsoft ein Augenmerk auf curl-basierte HTTP PUT-Uploads mit data-binary, API-key Headern sowie den Chunk-Management-Parametern upload_id, chunk_index und total_chunks, ergänzt um wiederkehrende /gate URI-Muster. Damit verlagert sich die Detektion von reinen Domain-Blocklisten hin zu „Request-Shape“- und Ablaufketten, die auch bei rotierender Infrastruktur stabil bleiben.
Auch macOS selbst spielt hier als Gegenmaßnahme eine Rolle, weil Apple inzwischen mehrere Schutzfunktionen für neuere Systeme ausgerollt hat. Microsoft verweist darauf, dass auf macOS 26.4 und später Terminal-Paste-Schutzmechanismen greifen können: Nach einer 24-stündigen Grace-Phase seit dem initialen Setup wird ein Warnhinweis angezeigt, wenn Terminal länger als 30 Tage nicht geöffnet war, keine typischen Entwickler-Tools erkannt werden und der Paste aus einer spezifizierten Quelle wie Browser oder Messaging-App stammt. Zusätzlich kann XProtect laut Microsoft die Prozessbäume nach eingefügten Terminal-Kommandos nachverfolgen, Netzwerkartefakte gegen Apples Safe Browsing Service abgleichen und Verhalten blockieren, das bekannte Malware-Techniken erfüllt. Für den beschriebenen Angriffsablauf ist das besonders relevant, weil der Mix aus Terminal-Einfügen, automatisierten Shell-Kommandos und osascript-gestützter Ausführung genau in die Kategorie fällt, die lokales Inspektions- und Blocking-Verhalten triggern kann. Die große Botschaft für IT-Sicherheitsverantwortliche lautet deshalb: Rotierende Domains sind ein vorgeschobener Deckmantel; die realen Ankerpunkte sitzen in den wiederkehrenden Prozess- und Request-Strukturen, die auch nach Infrastrukturwechseln wieder auftauchen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft verfolgt MacSync Stealer über 30+ rotierende Domains und belegt Data Exfiltration" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft verfolgt MacSync Stealer über 30+ rotierende Domains und belegt Data Exfiltration" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft verfolgt MacSync Stealer über 30+ rotierende Domains und belegt Data Exfiltration« bei Google Deutschland suchen, bei Bing oder Google News!