MacSync Stealer: Microsoft liga mais de 30 domínios à campanha

A Microsoft publicou em 18 de agosto de 2026 uma análise do MacSync Stealer, malware de roubo de informações voltado ao macOS que troca de infraestrutura com rapidez para dificultar o bloqueio. O trabalho, conduzido pela equipe Microsoft Defender Experts, conectou mais de 30 domínios à mesma operação — não por listas de indicadores, mas por padrões de comportamento que se repetem mesmo quando os domínios mudam.

A investigação parte de um relato anterior da RST Cloud, de 8 de maio de 2026, que havia identificado a ameaça a partir de um conjunto limitado de domínios e documentado a rápida substituição da infraestrutura de comando e controle após a divulgação pública. A contribuição da Microsoft foi mostrar que essa infraestrutura sustenta mais do que comunicação: ela cobre também coleta ativa, preparação dos dados e exfiltração.

O ponto central da publicação não é a contagem de domínios, e sim o método. Domínios giram; sequências de execução, formato das requisições, caminhos de preparação e parâmetros de upload permanecem.

Como o MacSync Stealer chega à máquina

A execução observada começa em uma sessão interativa de terminal, em um padrão compatível com engenharia social do tipo ClickFix — em que a vítima é convencida a colar e executar comandos no Terminal. A partir daí, um utilitário de linha de comando busca o conteúdo do payload em infraestrutura controlada pelo atacante, e o conteúdo é decodificado ou descompactado com ferramentas nativas do próprio sistema.

Na sequência, o payload recorre ao osascript para executar comandos de shell assistidos por AppleScript, misturando o ambiente de automação do macOS com utilitários Unix comuns. É uma escolha deliberada: quase tudo o que o malware usa já vem instalado no sistema.

O que o malware coleta

Depois da execução, o MacSync Stealer levanta informações de host e de usuário, enumera processos e verifica a presença de aplicativos de carteiras de criptomoedas, incluindo artefatos locais associados a Ledger e Trezor. Em seguida, parte para os dados de valor:

• Material do Keychain do macOS e chaves de armazenamento seguro dos navegadores.
• Credenciais, cookies, bancos de dados de login, dados de sessão, IndexedDB, LevelDB e armazenamento de extensões de Chrome, Brave, Edge, Opera, Vivaldi, Arc, Chromium e outros.
• Dados do Safari, notas do Apple Notes, histórico e perfis de navegação.
• Chaves SSH, credenciais da AWS e configurações do Kubernetes.
• Arquivos sensíveis em diretórios comuns do usuário — documentos, PDFs, além de formatos associados a chaves, certificados, bancos de senhas, configurações de VPN e sementes de carteiras.

Os dados coletados são reunidos em um diretório temporário, compactados em um único arquivo e divididos em pedaços antes do envio. A exfiltração ocorre por requisições HTTP PUT que carregam parâmetros de identificação de upload, índice do pedaço e total de pedaços. Concluído o envio, o malware apaga arquivos temporários, pastas de preparação e arquivos de trava.

A Microsoft observa que a confirmação de exfiltração ativa — e não apenas de comunicação com o servidor — é uma diferença relevante em relação ao relato anterior.

Por que os pivôs comportamentais funcionam melhor que domínios

Para tratar um domínio como relacionado à campanha, a equipe exigiu a convergência de múltiplos comportamentos de endpoint e de rede: ancestralidade de processo, padrões de linha de comando, caminhos de requisição, cabeçalhos e parâmetros de upload. Foi essa exigência que produziu a lista de mais de 30 domínios, e não o contrário.

Segundo a Microsoft, a RST Cloud já havia usado padrões de URI recorrentes para encontrar onze domínios candidatos adicionais e identificado um valor estático de chave de API compartilhado por quatro domínios de C2 confirmados, enquanto o token de compilação girava a cada implantação. É o tipo de reuso operacional que dá aos defensores um ponto de apoio estável.

Consultas de caça disponíveis

A Microsoft publicou consultas de advanced hunting que podem ser usadas como ponto de partida por quem opera o Defender for Endpoint. Uma delas busca atividade de rede iniciada pelo utilitário de download que corresponda aos caminhos e parâmetros recorrentes:

DeviceNetworkEvents
| where InitiatingProcessFileName =~ "curl"
| where RemoteUrl has_any ("/curl/", "upload_id", "chunk_index", "total_chunks")

Outra procura execução de shell disparada por AppleScript, padrão observado logo após a infecção:

DeviceProcessEvents
| where FileName =~ "osascript"
| where ProcessCommandLine has_any ("sh -c", "cp ", "rm ", "curl ", "mkdir ", "killall", "dscl")

A recomendação do próprio fabricante é ajustar janela de tempo, escopo de dispositivos e listas de exceção antes de usar essas consultas em produção. O texto original traz o conjunto completo, além do mapeamento das técnicas observadas ao MITRE ATT&CK — que inclui, entre outras, acesso a credenciais no Keychain, coleta de dados do sistema local, arquivamento antes do envio e limites de tamanho de transferência.

A resposta da Apple e o que ela cobre

A Microsoft registra que, a partir do macOS 26.4, a Apple passou a incluir proteções desenhadas para interromper ataques no estilo ClickFix. Entre elas estão avisos que podem bloquear a colagem de comandos potencialmente maliciosos no Terminal e verificações do XProtect capazes de impedir a execução de scripts detectados como maliciosos.

Quando o bloqueio é acionado, o sistema informa que golpistas costumam incentivar a colagem de texto no Terminal para comprometer o Mac ou a privacidade do usuário, e que essas instruções chegam por sites, agentes de chat, aplicativos, arquivos ou telefonemas.

É uma proteção relevante, mas com dois limites óbvios: depende de o usuário estar em uma versão recente do sistema e atua sobre um vetor específico. Ela não substitui monitoramento pós-execução.

Recomendações

• Eduque contra o padrão “cole e execute”. Nenhum fornecedor legítimo pede que o usuário cole comandos vindos de um site, de um chat ou de uma ligação para resolver um erro.
• Monitore uso incomum de Terminal e shell, especialmente sessões que buscam conteúdo remoto, decodificam dados e executam comandos logo após interação do usuário.
• Sinalize sequências de utilitários nativos — download, decodificação, descompactação, automação por AppleScript, cópia, remoção e encerramento de processos — quando ocorrerem encadeadas.
• Proteja repositórios de credenciais. Detecte acesso não autorizado ao Keychain, a bancos de credenciais de navegador, a chaves SSH e a arquivos de credenciais de nuvem.
• Alerte sobre preparação de dados: coleta de arquivos sensíveis seguida de compactação ou criação de arquivo em caminhos temporários.
• Monitore o padrão de exfiltração, com atenção a uploads HTTP PUT que carregam identificadores de sessão de upload e contagem de pedaços.
• Restrinja tráfego de saída suspeito para domínios recém-registrados ou relacionados por comportamento, mantendo a caça sobre padrões de requisição que sobrevivem à troca de domínio.
• Atualize o macOS para uma versão que inclua as proteções contra colagem maliciosa no Terminal.

O que observar a seguir

A Microsoft não atribui a operação a um grupo nomeado e não divulga números de vítimas, distribuição geográfica ou volume de dados exfiltrados. Também não há indicação pública de foco no Brasil. Esses limites devem ser considerados na leitura: o que está documentado é o método de caça e a cadeia de ataque, não a extensão da campanha.

O título do relatório de inteligência citado pela empresa — que descreve uma mudança do ClickFix para código assinado — sugere que a operação pode estar migrando para entrega com assinatura válida, o que reduziria o atrito com as proteções do sistema. Se essa transição se confirmar, os pivôs de comportamento pós-execução descritos aqui ficam ainda mais importantes, já que a etapa de entrega deixaria de gerar o alarme inicial.

Fontes e referências

• Microsoft Threat Intelligence — Hunting MacSync Stealer infrastructure through behavioral pivots (18 de agosto de 2026)
• RST Cloud — relatório “MacSync Stealer: C2 Infrastructure Rotation” (8 de maio de 2026), citado como referência externa pela Microsoft. O site do fornecedor estava indisponível na data de publicação desta matéria.
• Apple — Proteção contra malware no macOS
• MITRE ATT&CK — T1555.001: Credentials from Password Stores — Keychain
• Plugged Ninja — ClickFix no macOS esconde isca atrás de fingerprinting