Malware · 55 giorni fa
MacSync Stealer non si limita a cambiare domini: Microsoft ha collegato oltre 30 domini a una stessa infrastruttura che serve per C2, raccolta, staging ed esfiltrazione. La parte importante è che bloccare un dominio noto non basta a fermare la sottrazione dei dati, perché la campagna continua a usare canali nuovi per portare fuori ciò che ha già raccolto.
Microsoft ha ricostruito il cluster partendo da comportamenti che restano stabili anche quando l’infrastruttura ruota: forme ricorrenti delle URI, user-agent macOS, header API-key e upload con curl. Lo stesso schema copre la raccolta di credenziali e file, la preparazione locale degli archivi e il loro invio a chunk, quindi il segnale utile non è il dominio singolo ma il pattern della richiesta e del trasferimento.
Per chi difende endpoint macOS, il punto è pratico: il semplice allow/deny list sui domini C2 lascia aperta la fase di furto attivo. Finché la detection si ferma alla reputazione del dominio, MacSync può cambiare nome alla rete e conservare il comportamento che consegna i dati fuori dal sistema.
3 fonti che coprono questa storia
Microsoft Links 30+ Rotating Domains to MacSync Stealer Infrastructure
Microsoft links 30+ domains to MacSync Stealer, tracing recurring execution and chunked exfiltration of credentials and sensitive data.
Hunting MacSync Stealer infrastructure through behavioral pivots | Microsoft Security Blog
MacSync Stealer rapidly rotates domains to evade detection, but its behavior remains consistent.
MacSync Stealer: How a Google Search for Claude Led to a macOS Infostealer | Huntress
Huntress SOC analysts reverse engineer MacSync Stealer, a macOS infostealer spread through fake Claude Code download pages.
Part of the PlainSec briefing for 2026-08-19