Microsoft Defender Experts haben neue Details zu MacSync Stealer veröffentlicht. Der macOS-Infostealer nutzt wechselnde Infrastruktur, um Payloads auszuliefern, kompromittierte Geräte zu steuern und Daten abzufließen. Für Unternehmen mit Mac-Arbeitsplätzen ist daran vor allem wichtig: Microsoft beschreibt nicht nur Domains, sondern wiederkehrende Verhaltensmuster, die sich in Microsoft Defender und Defender XDR gezielt suchen lassen. Damit wird aus einer Threat-Intelligence-Meldung ein konkreter Prüfauftrag für Betriebsteams, die macOS-Geräte nicht nur verwalten, sondern auch mit Endpoint-Signalen überwachen.
Was Microsoft zu MacSync Stealer beobachtet hat
Laut Microsoft beginnt die beobachtete Aktivität mit einer interaktiven zsh-Sitzung, die zu ClickFix-Social-Engineering passt: Benutzer werden dazu gebracht, Befehle in Terminal einzufügen oder auszuführen. Danach lädt curl Payload-Inhalte nach, die mit Bordmitteln wie Base64 und gunzip dekodiert oder entpackt werden. Anschließend folgen AppleScript-gestützte Shell-Kommandos über osascript, weitere Netzwerkkommunikation und Datensammlung.
Microsoft beschreibt die Untersuchung als verhaltensorientiert. Die Forscher korrelierten Prozess-, Befehlszeilen-, Datei- und Netzwerkdaten, statt nur einzelne Domains zu betrachten. So wurden mehr als 30 zusammenhängende Domains identifiziert; entscheidend waren aber die wiederholten Muster bei Abruf, C2-Kommunikation, Staging und Exfiltration.
Warum Domains allein nicht reichen
MacSync Stealer wechselt Infrastruktur schnell. Microsoft nennt deshalb Domains ausdrücklich als punktuelle Belege, nicht als alleinige Grundlage für Erkennung. Dauerhafter sind die technischen Spuren, die beim Ablauf entstehen:
/curl/als Pfad für den initialen Payload-Abruf./dynamic?txd=und/gate?buildtxd=als wiederkehrende URI-Muster.upload_id,chunk_index,total_chunks, API-Key-Header und HTTP-PUT-Uploads mit--data-binary.
Für die Praxis heißt das: Blocklisten können helfen, sollten aber nicht die einzige Reaktion sein. Wer nur Domains sperrt, verliert Sichtbarkeit, sobald die Infrastruktur rotiert. Wer dagegen Prozesskontext und Netzwerkform zusammenführt, kann auch neue Domains mit ähnlichem Verhalten untersuchen.
Welche Daten der Infostealer sammelt
Microsoft nennt eine breite Sammlung lokaler Daten auf macOS-Geräten. Dazu gehören Keychain-bezogenes Material, Browser-Safe-Storage-Schlüssel, Browser-Anmeldedaten, Cookies, Login-Datenbanken, Sitzungsdaten, IndexedDB, LevelDB, Erweiterungsspeicher, Safari-Daten, Apple Notes, SSH-Schlüssel, AWS-Zugangsdaten, Kubernetes-Konfigurationen, Browserprofile, Browserverlauf und sensible Dateien aus typischen Benutzerordnern.
Die Daten werden laut Microsoft unter temporären Pfaden wie /tmp/sync* gesammelt, zu /tmp/osalogging.zip komprimiert, in mehrere Teile zerlegt und anschließend per curl über HTTP PUT hochgeladen. Nach der Exfiltration entfernt die Malware temporäre Archive, Staging-Ordner, Lock-Dateien und weitere Artefakte. Gerade diese Reihenfolge aus Zugriff, Archivierung, Upload und Löschung ist ein wichtiger Ansatz für die Korrelation.
Was Defender XDR erkennen kann
Microsoft listet mehrere Abdeckungen in Microsoft Defender for Endpoint und Microsoft Defender Antivirus. Dazu gehören verdächtige Shell-Ausführung, AppleScript-Aktivität, Dateiverschleierung, Zugriff auf sensible Dateien, Archiv-Erstellung, mögliche Exfiltration über curl und macOS-spezifische Erkennungen wie Trojan:MacOS/SuspMacSyncExfil. Defender XDR stellt außerdem Threat-Analytics-Informationen für Kunden mit entsprechendem Zugriff bereit.
Microsoft veröffentlicht zudem Advanced-Hunting-Abfragen als Ausgangspunkt. Sie suchen unter anderem nach curl-Netzwerkereignissen mit den genannten URI-Pfaden, nach HTTP-PUT-Uploads mit --data-binary, nach Prozessbefehlen mit API-Key-Headern und nach osascript-Aufrufen, die Shell-Werkzeuge wie sh, cp, rm, curl, mkdir oder killall starten.
Was Teams jetzt prüfen sollten
Microsofts Schutzempfehlungen sind konkret genug für eine kurze interne Prüfung, besonders wenn Macs produktiv genutzt werden:
- Benutzer vor ClickFix-Mustern warnen und das Einfügen fremder Terminal-Befehle untersagen.
- Verdächtige Terminal-, zsh- und Shell-Sitzungen mit nachgelagertem Download oder Dekodierung überwachen.
- Ungewöhnliche Sequenzen aus
curl, Base64, gunzip,osascript,cp,rm,mkdirundkillallauswerten. - Zugriffe auf Keychain-Material, Browser-Credentials, SSH-Schlüssel, Cloud-Zugangsdaten und sensible Benutzerdateien korrelieren.
- Cloud-delivered Protection, Network Protection, Web Protection und Tamper Protection für Defender auf macOS prüfen.
Für kleine und mittlere Unternehmen ist daraus kein Sonderprojekt nötig, aber ein sinnvoller Prüfpunkt im Betrieb: Werden Mac-Endpunkte vollständig in Defender erfasst, kommen die Signale in Defender XDR an und sind die Hunting-Abfragen auf eigene Allowlists angepasst? Wichtig ist auch, ob Helpdesk und Administratoren ClickFix-Fälle erkennen: Die Microsoft-Beobachtung beginnt nicht mit einer klassischen Datei, sondern mit einer Benutzeraktion im Terminal. Genau deshalb sollten technische Erkennung, kurze Benutzerhinweise und klare Eskalationswege zusammen betrachtet werden.
Offizielle Microsoft-Quellen
- Microsoft Security Blog: Hunting MacSync Stealer infrastructure through behavioral pivots
- Microsoft Learn: Network protection and web protection for macOS
- Microsoft Learn: Set preferences for Microsoft Defender for Endpoint on macOS
Ob Ihre Mac-Endpunkte die relevanten Defender-Signale liefern und ob Hunting-Regeln ohne zu viele Fehlalarme greifen, prüfen wir in einem Microsoft Security Assessment – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
