Microsoft rastreia infostealer MacSync por comportamento, não por domínios, em campanha que mira wallets cripto
O MacSync Stealer é um infostealer para macOS que rouba senhas de Keychain e navegador, chaves SSH, credenciais AWS e ativos de wallets como Ledger e Trezor, distribuído via técnica ClickFix. A Microsoft conseguiu ligar mais de 30 domínios diferentes à mesma campanha analisando padrões de comportamento (sequências de requisições, uploads em chunks, criação de arquivos temporários) em vez de depender de listas de domínios maliciosos, que os operadores trocam constantemente.
A cadeia de infecção começa, mais uma vez, com ClickFix: a vítima é convencida por engenharia social a colar e executar no Terminal do macOS um comando que baixa um payload via curl a partir de um caminho como "/curl/[token]". A partir daí, o malware usa ferramentas nativas do sistema — AppleScript combinado com comandos Unix como sh, cp e rm, além de osascript — para se disfarçar como automação legítima do sistema operacional em vez de um executável malicioso óbvio, dificultando a detecção por antivírus tradicional baseado em assinatura.
O alvo prioritário do malware são justamente os ativos de maior valor de revenda no submundo cripto: credenciais armazenadas no Keychain e em navegadores, chaves SSH e credenciais de nuvem (AWS), configurações Kubernetes, e dados de carteiras de hardware Ledger e Trezor. Isso o coloca na categoria de malware financeiro voltado a roubo direto de fundos e credenciais de acesso a infraestrutura, não apenas coleta genérica de dados pessoais.
O diferencial da resposta da Microsoft é metodológico e replicável por outras equipes de defesa: em vez de tentar bloquear o domínio de distribuição (que os operadores trocam com frequência, tornando blocklists sempre atrasadas), a Microsoft Defender Experts correlacionaram o formato recorrente do ataque — sessões de shell disparando curl com flags específicas, osascript gerando tráfego de rede rapidamente, criação de arquivos temporários sob padrões como "/tmp/sync*", upload em chunks via HTTP PUT — e assim conectaram mais de 30 domínios distintos à mesma campanha. Para times de segurança e antifraude, a lição prática é priorizar detecção comportamental (EDR com regras sobre cadeias de processo shell → curl → osascript) sobre blocklists estáticas, e para usuários de macOS o alerta continua sendo o mesmo de qualquer ataque ClickFix: nunca colar comandos de terminal fornecidos por sites, pop-ups ou suporte não solicitado.