MacSync Stealer non si limita a cambiare domini: Microsoft ha collegato oltre 30 domini a una stessa infrastruttura che serve per C2, raccolta, staging ed esfiltrazione. La parte importante è che bloccare un dominio noto non basta a fermare la sottrazione dei dati, perché la campagna continua a usare canali nuovi per portare fuori ciò che ha già raccolto.
Microsoft ha ricostruito il cluster partendo da comportamenti che restano stabili anche quando l’infrastruttura ruota: forme ricorrenti delle URI, user-agent macOS, header API-key e upload con curl. Lo stesso schema copre la raccolta di credenziali e file, la preparazione locale degli archivi e il loro invio a chunk, quindi il segnale utile non è il dominio singolo ma il pattern della richiesta e del trasferimento.
Per chi difende endpoint macOS, il punto è pratico: il semplice allow/deny list sui domini C2 lascia aperta la fase di furto attivo. Finché la detection si ferma alla reputazione del dominio, MacSync può cambiare nome alla rete e conservare il comportamento che consegna i dati fuori dal sistema.