マイクロソフト、macOS標的のマルウェア「MacSync」で30以上の関連ドメインを特定 端末と通信の振る舞いから追跡
要点
-
米Microsoftは、macOSを標的とする情報窃取型マルウェア「MacSync Stealer」に関連する30以上のドメインを特定したと発表した。
-
端末内のプロセスやコマンドライン、通信パスなどの複数の振る舞いを相関分析することで、頻繁に切り替わる攻撃インフラを割り出した。
-
侵入後はKeychainやブラウザ情報、クラウドの認証情報などを収集し、分割圧縮して外部送信した後に一時ファイルを削除する手口が確認された。
-
過去にセキュリティ企業が候補として挙げていたドメインとも一部が一致し、複数のC2サーバーが並行して運用されている実態が示された。
-
米Microsoftのセキュリティ調査部門であるMicrosoft Defender Expertsは2026年8月18日、macOS環境を狙う情報窃取型マルウェア「MacSync Stealer」の大規模なインフラを特定したとする調査結果を公表した。攻撃者が通信先ドメインを頻繁に入れ替えるなか、端末内の動作とネットワーク通信の共通パターンを照合することで、30件を超える関連ドメインを割り出した。調査では単なる接続確認にとどまらず、実際に端末内の機密情報が外部へ持ち出されていたことも確認されたという。
ターミナル操作から始まる侵入と機密データの探索
Microsoftの分析によると、MacSyncの実行は対話型の zsh ターミナルセッションから開始される。これは、Webブラウザ上で偽のエラー画面などを表示してユーザー自身にコマンドを実行させる「ClickFix」と呼ばれるソーシャルエンジニアリング（人間の心理的な隙を突く手口）に一致する挙動だという。
ターミナル上でコマンドが実行されると、標準の curl コマンドを通じて攻撃者の管理サーバーから /curl/ という特定のパス経由で悪意あるデータが取得される。その後、macOSに標準搭載されている Base64 や gunzip といったユーティリティを用いて、ペイロード（攻撃処理を実行する本体プログラム）が復号・展開される。
展開されたペイロードは、AppleScriptを実行する osascript やUnix標準のコマンドを活用して機密データを収集する。標的となるのは、端末のホスト情報やユーザー情報のほか、パスワードなどを一元管理する「macOS Keychain」のデータ、各種ブラウザのログイン認証情報・Cookie・セッションデータ・閲覧履歴、標準メモアプリ「Apple Notes」の記録など多岐にわたる。さらに、サーバー接続に用いるSSH鍵や、クラウド基盤であるAWS（Amazon Web Services）の認証情報、Kubernetesの設定ファイル、ユーザーディレクトリ内に保存された各種の機密ファイルも網羅的に探索される。
一時領域での圧縮・分割送信と痕跡消去
収集されたデータは、外部へ送信される前に一時的な処理が施される。まず /tmp/sync* ディレクトリに集約された後、/tmp/osalogging.zip という単一のZIPファイルに圧縮される。
この圧縮ファイルは複数のチャンク（分割データ）に細かく分けられた上で、curl によるHTTP PUTリクエストを通じて攻撃者側のサーバーへ送信される。通信時には upload_id（アップロード識別子）、chunk_index（分割順序）、total_chunks（全体分割数）といった決まったパラメータが共通して使用されていた。一連のデータ送信が完了すると、マルウェアは一時アーカイブファイルや作業フォルダ、排他制御用のロックファイルなどを即座に削除し、端末上に残る攻撃の痕跡を消去していた。
振る舞い分析によるインフラ特定と過去調査との符号
攻撃者は検出を免れるために接続先サーバーのドメインを変更していたが、Microsoftは端末とネットワークの双方に現れる特徴的な振る舞いを組み合わせて分析し、同一の攻撃基盤であることを突き止めた。具体的には、プロセスの実行階層構造やコマンドラインのパターンに加え、特徴的なリクエストパス（/curl/、/dynamic?txd=、/gate?buildtxd=）、macOS専用のユーザーエージェント文字列、固有のAPIキーヘッダー、分割アップロード時のパラメータなどが判断基準として用いられた。
今回の報告は、セキュリティ企業RST Cloudが2026年5月に公表した調査結果を発展させたものとなっている。RST Cloudは当時、4つの確定したC2（マルウェアを遠隔操作する指令サーバー）ドメインで共通のAPIキーを確認し、特徴的なURLパターンから11件の候補ドメインを挙げていた。
両社のデータを照合したところ、Microsoftが今回特定したドメイン群の中に、RST Cloudが候補として挙げていた4件（lalandscapelighting[.]com、lumenagnet[.]com、nailscanai[.]com、numericagent[.]com）が含まれていることが判明した。RST Cloudはドメインの運用時期が重複していた点から、サーバーが順次切り替えられているのではなく、複数のC2が並行して稼働していると分析していた。
なお、Microsoftは今回の報告において、被害組織の具体的な件数や特定の脅威グループへの帰属（アトリビューション）については明らかにしていない。また、RST Cloudが記録した静的APIキーの具体的な値や、全ドメインでの完全一致については言及していない。
公開された関連ドメイン指標
報告の中でMacSync Stealerの活動と一致するものとして公開された主なドメイン指標には、以下のようなものが含まれている。
aihealthring[.]comcabinrentalsnc[.]comchatbasedos[.]comcommercialroofingsd[.]comdogtrainersgeorgia[.]comfintelliganceai[.]comhomeinspectionsdelaware[.]comintopython[.]comlalandscapelighting[.]comlumenagnet[.]commarbellaresales[.]commiamipcsupport[.]commoldinspectiondayton[.]comnailscanai[.]comnewjerseypetsitter[.]comnumericagent[.]comoaklandwaterdamage[.]comoklahomawarehousing[.]comolympiapetemergency[.]compeaecagent[.]complasmaticsystems[.]com