微软换了个思路保护 Mac 用户：不封域名，改盯行为，揪出 30 多个 MacSync 关联域名

针对专盯 macOS 的窃密木马 MacSync Stealer，微软安全团队放弃了传统的「封域名」打法，转而追踪恶意软件的行为特征，最终关联出 30 多个攻击域名。这套思路对普通 Mac 用户同样有参考价值。

一个会不断换马甲的窃密木马

MacSync Stealer 是一款针对苹果 macOS 生态的信息窃取恶意软件，能窃取密码、浏览器数据、Cookie、macOS 钥匙串（Keychain）密钥、加密货币钱包、Telegram 会话、SSH 及云服务凭据等敏感信息。

它的传播主要靠 ClickFix 骗局：受害者访问恶意网站后，页面谎称浏览器版本过旧，或某个受保护文档需要先完成身份验证，诱导用户打开终端（Terminal），粘贴并执行一条命令。这条命令实际上会下载并运行恶意软件。

过去防御这类攻击主要靠封锁恶意域名，但攻击者可以快速更换域名，被封锁的地址失效后，新的攻击域名很快又会冒出来，防不胜防。

不再追着域名跑，改看它做了什么

微软 Defender Experts 团队因此转向行为分析，通过追踪恶意软件反复出现的进程、命令行、网络请求、数据暂存和上传行为，关联出 30 多个相关域名，并发现这些基础设施不只用于命令与控制（C2）通信，还承担数据收集、暂存和外传任务。

从技术细节看，MacSync Stealer 的攻击通常从一个交互式 zsh 终端会话开始：用户在骗局诱导下执行命令后，curl 会从攻击者控制的服务器下载载荷，再用 Base64、gunzip 等工具解码解包并执行恶意脚本；过程中还会借助 osascript 执行 AppleScript 辅助的 Shell 命令，调用 sh、cp、rm、curl、mkdir、killall 等 macOS 原生工具。

被盯上的数据：钱包、钥匙串、Safari 都在清单里

运行后，木马会先收集主机和用户信息、枚举正在运行的进程，随后寻找 Ledger、Trezor 等加密货币钱包数据，并对钥匙串、浏览器凭据、Cookie、登录数据库、会话数据和浏览器扩展存储下手。Safari 数据、备忘录（Apple Notes）、SSH 密钥、AWS 凭据、Kubernetes 配置文件，以及下载、文稿、桌面等目录中的敏感文件也在目标清单内，涉及 PDF、DOCX、TXT、KEY、PEM、KDBX、OVPN、WALLET、SEED 等文件类型。

收集到的数据不会立刻全部上传，而是先暂存在 /tmp/sync* 路径下，压缩成 /tmp/osalogging.zip 之类的归档文件，再拆分成多个数据块。外传阶段，木马用 curl 通过 HTTP PUT 请求上传文件，请求中会出现 upload_id、chunk_index、total_chunks 等参数——这些特征可以帮助安全人员判断是否正在发生真实的数据窃取，而不只是 C2 心跳。

普通 Mac 用户可以做什么

微软建议企业降低员工从不可信来源执行终端命令的风险，重点监控用户交互后出现的载荷下载、解码和执行行为，并关注 curl、Base64、gunzip、osascript 等原生工具的异常组合。

值得一提的是，苹果已经在 macOS 26.4 及更高版本中加入针对 ClickFix 类攻击的防护：当用户尝试向终端粘贴可能具有恶意性的命令时，系统会弹出警告并阻止粘贴，同时通过 XProtect 拦截已检测到的恶意脚本。对普通用户来说，最朴素也最有效的防线依然是——不要在终端里粘贴任何来路不明的命令。