Aktif tehdit ailesimacOSKimlik bilgisi hırsızlığı
Malware Intelligence

MacSync Stealer

MacSync, Rusça konuşan bir aktör tarafından geliştirildiği değerlendirilen bir macOS infostealer’dır. Paylaşılmış yapay zekâ sohbetlerini kullanan çok aşamalı ClickFix kampanyalarıyla dağıtılır; ana yük osascript ile çalışır ve diskte iz bırakmaz.

Aktivite haritası

Arama sonuçlarında çıkan paylaşılmış sohbet, kullanıcıya "sorun çözümü" olarak Terminal komutu verir.

Zscaler

Aktivite haritasıKullanıcı yapıştırırDiskte iz yokPaketlemeGönderimPaylaşılmış sohbetArama sonucuTerminalcurl | osascriptosascript3 aşamalı AppleScriptMacSync StealerInfostealer~/.zshrccurl satırıVeri toplama9 hedefLog arşiviC2 sunucusu
Zararlı yükMacSync Stealer · Infostealer

MacSync, Rusça konuşan bir aktör tarafından geliştirildiği değerlendirilen bir macOS infostealer’dır. Paylaşılmış yapay zekâ sohbetlerini kullanan çok aşamalı ClickFix kampanyalarıyla dağıtılır; ana yük osascript ile çalışır ve diskte iz bırakmaz.

Ortam bilgileri

  • İşletim sistemi
  • Donanım
  • IP ve konum
  • Kurulu yazılımlar
  • Masaüstü dosyaları

Kimlik ve uygulama verileri

  • Kayıtlı parolalar
  • Oturum çerezleri
  • Otomatik doldurma
  • Kayıtlı kartlar
  • Anahtar Zinciri
  • MetaMask
  • Phantom
  • Exodus
  • Electrum
  • Ledger Live
Dark Radar bulaşma kaydı
60.885
Son bulaşma kaydı
29 Ekim 2026
Zararlı yazılım türü
Infostealer
İlk görülme
2025
01

Genel bakış

Geliştiricileri ve teknik kullanıcıları hedefler: bulut anahtarlarını ve kabuk geçmişini toplaması, kurumsal bulut ortamlarına doğrudan erişim riski yaratır.

Dark Radar verisinde 60.885 bulaşma kaydıyla 52 aile arasında 20. sırada.

Diğer adları: MacSync

02

Köken ve gelişim

  1. 2026Paylaşılmış sohbet bağlantılarını kullanan ClickFix kampanyası belgelendi.Zscaler
03

Teknik profil

Zararlı yazılım türüInfostealer
Hedef işletim sistemimacOS
Birincil amaçAnahtar Zinciri, cüzdan ve bulut anahtarı hırsızlığı
Tehdit kategorisiKimlik bilgisi hırsızlığı
Programlama diliAppleScript (çok aşamalı)
Dağıtım modeliBilinmiyor
İlk görülme2025
Bulaşan sistemlermacOS %100
Kamu kaynağı güveniOrta
04

Hedeflenen uygulamalar

9 uygulama5 kategori
05

Veri toplama

Kimlik bilgileri

  • Tarayıcı parolaları%93Doğrulandı
  • Oturum çerezleri%100Doğrulandı
  • Süresi dolan oturumu yenileme—
  • Otomatik doldurma%3,5Doğrulandı
  • macOS Anahtar ZinciriDoğrulandı
  • 2FA ve parola yöneticileri—

Finansal

  • Kayıtlı kartlar%25Dark Radar gözlemi
  • Masaüstü kripto cüzdanlarıDoğrulandı
  • Cüzdan eklentileriDoğrulandı
  • Pano adresi değiştirme—

Sistem

  • Dosya toplamaDoğrulandı
  • Ekran görüntüsü—
  • Sistem envanteri%100Dark Radar gözlemi

Davranış

  • Ek yük indirmeDoğrulandı
  • KalıcılıkDoğrulandı
  • Analizden kaçınma—
06

Dosya sistemi

Kullanıcı klasörü (~)
Dosya ayrıntıları Dark Radar Intelligence'taIntelligence'ta aç
07

Sistem bileşenleri

  • Tam Disk Erişimi izni istenir
  • Kabuk yapılandırması
08

Çalışma mekanizması

  1. 1Bulaşma

    • Paylaşılmış yapay zekâ sohbeti, kullanıcıya Terminal’e komut yapıştırmasını söyler (ClickFix).

    Kırılma noktası: E-posta ekleri, sponsorlu reklam bağlantıları ve lisanssız yazılım indirmeleri e-posta ve web geçidinde engellenir.

  2. 2Çalıştırma ve gizlenme

    • Üç aşamalı AppleScript zinciri osascript ile bellekte çalışır.
    T1204.004User Execution: Malicious Copy and PasteT1059.002AppleScriptT1059.004Unix Shell

    Kırılma noktası: Yalnızca imzalı ve noter onaylı uygulamalara izin verilir; osascript ile parola isteyen süreçler izlenir.

  3. 3Keşif

    • Kullanıcıdan Tam Disk Erişimi izni istenir.
    Dark Radar gözlemi

    Bulaşan sistemler: macOS %100.

    Kırılma noktası: Kısa ömürlü bir süreçten gelen toplu sistem ve güvenlik yazılımı sorguları EDR alarmı üretir.

  4. 4Veri toplama

    • Anahtar Zinciri, tarayıcılar, cüzdanlar, bulut anahtarları, kabuk geçmişi ve belgeler.
    Dark Radar gözlemi

    Son 200 logda bulunan veriler: parola dosyası %93, çerez %100, otomatik doldurma %3,5, kart %25, cüzdan %1.

    T1056.002GUI Input CaptureT1555.001KeychainT1555.003Credentials from Web BrowsersT1539Steal Web Session CookieT1552.001Credentials In FilesT1005Data from Local SystemT1560Archive Collected Data

    Kırılma noktası: Tarayıcı dışındaki bir sürecin tarayıcı profil dosyalarını okuması engellenir veya alarm üretir.

  5. 5Sızdırma ve C2

    • Veriler sıkıştırılıp 10 MB’lık parçalar halinde HTTP PUT ile gönderilir.
    T1071.001Web ProtocolsT1041Exfiltration Over C2 Channel

    Kırılma noktası: Yeni kaydedilmiş alan adlarına, doğrudan IP adreslerine ve standart dışı portlara giden trafik engellenir.

  6. 6Kalıcılık ve sonrası

    • ~/.zshrc dosyasına curl komutu eklenerek kalıcılık sağlanır.
    • Donanım cüzdanı kullanıcılarına truva atı uygulama bırakılabilir.
    T1546.004Unix Shell Configuration Modification

    Kırılma noktası: Bulaşma doğrulandığında cihazdaki tüm oturumlar ve erişim belirteçleri iptal edilir.

09

Ağ iletişimi

Bu bölüm Dark Radar Intelligence'taIntelligence'ta aç
10

MITRE ATT&CK

Execution
Persistence
Credential Access
Collection
Command and Control
Exfiltration
11

IOC ve tespit

Bu bölüm Dark Radar Intelligence'taIntelligence'ta aç
12

Risk ve etki

  • Bulut erişim anahtarları çalındığında üretim ortamlarına doğrudan erişim mümkün olur.
  • Çalınan oturum çerezleri parola ve çok aşamalı doğrulama sorulmadan bulut, e-posta ve SaaS oturumlarının devralınmasına yeter.
  • Kişisel cihazda kayıtlı kurumsal parolalar, kurum ağı dışındaki bulaşmalarla da sızar; bu loglar ilk erişim komisyoncularına satılır.
  • Log arşivleri yıllarca yeniden paylaşılır; parola değişmedikçe aynı kimlik bilgisi tekrar tekrar kullanılabilir.
  • Ele geçirilen e-posta, mesajlaşma ve sosyal medya hesapları kimlik avının ve zararlı dağıtımının bir sonraki halkası olur.
13

Savunma

  • Geliştirici cihazlarında bulut anahtarlarını kısa ömürlü kimlik bilgileriyle değiştirin.
  • Terminal’e yapıştırılan komutlarla ilgili farkındalık eğitimi verin.
  • Bulaşma tespit edildiğinde yalnızca parolayı değil, ilgili tüm oturumları ve erişim belirteçlerini iptal edin.
  • Tarayıcıda parola kaydını kurumsal politika ile kapatın; kurumsal parola yöneticisi kullanın.
  • Kimlik avına dayanıklı çok aşamalı doğrulamaya (FIDO2/passkey) geçin; oturumları cihaza bağlayın.
  • Lisanssız yazılım, oyun hilesi ve sponsorlu arama sonuçlarından indirilen kurulum dosyalarını engelleyin.
  • Kullanıcının Çalıştır penceresine veya terminale yapıştırarak komut çalıştırdığı akışları (ClickFix) uç nokta kurallarıyla izleyin.
  • Dark Radar ile kurum alan adlarınızı ve çalışan e-postalarınızı stealer loglarında sürekli izleyin.
14

Öğrenme merkezi

Bu zararlı yazılım nasıl bulaşır?
  • Paylaşılmış yapay zekâ sohbeti, kullanıcıya Terminal’e komut yapıştırmasını söyler (ClickFix).
Bir sistemde varlığı nasıl anlaşılır?
  • Hesaplarda tanınmayan ülke veya cihazdan oturum açılması.
  • Dark Radar’da kurum alan adınıza veya çalışan e-postanıza ait yeni bir infostealer logu.
Hangi macOS artefaktları incelenir?
  • ~/Downloads altındaki DMG dosyaları ve com.apple.quarantine özniteliği.
  • Kullanıcının Terminal geçmişi (~/.zsh_history).
  • /tmp altında geçici ZIP arşivleri.
  • ~/Library/LaunchAgents altındaki yeni plist dosyaları.
Hangi log kayıtları önemlidir?
  • Birleşik günlük (log show)osascript süreçleri ve kullanıcıdan parola isteyen iletişim kutuları.
  • TCC veritabanıTerminal veya bilinmeyen bir uygulamaya verilen Tam Disk Erişimi izni.
  • Uç nokta güvenlik çerçevesi (ESF)Anahtar Zinciri dosyasına ve tarayıcı profillerine erişen süreçler.
  • ~/.zshrc, LaunchAgentsKalıcılık için eklenen satırlar ve plist dosyaları.
Hangi MITRE teknikleriyle ilişkilidir?
T1204.004User Execution: Malicious Copy and PasteT1059.002AppleScriptT1059.004Unix ShellT1546.004Unix Shell Configuration ModificationT1056.002GUI Input CaptureT1555.001KeychainT1555.003Credentials from Web BrowsersT1539Steal Web Session CookieT1552.001Credentials In FilesT1005Data from Local SystemT1560Archive Collected DataT1071.001Web ProtocolsT1041Exfiltration Over C2 Channel
Bir SOC analisti nasıl müdahale etmelidir?
  1. Cihazı ağdan ayırın; bellek ve disk imajını almadan yeniden kurmayın.
  2. Bulaşma tarihini belirleyin; o tarihten sonra cihazda oturum açılmış tüm hesapları listeleyin.
  3. Bu hesapların parolalarını değiştirin, oturumlarını ve erişim belirteçlerini iptal edin, çok aşamalı doğrulama cihazlarını yeniden kaydedin.
  4. Kimlik sağlayıcı ve SaaS günlüklerinde bulaşma sonrasındaki yeni ülke, cihaz ve belirteç kullanımlarını arayın.
  5. Kurtarma ifadesi veya cüzdan dosyası açığa çıktıysa varlıkları yeni bir cüzdana taşıyın.
  6. İlk erişim yolunu (e-posta, reklam, lisanssız yazılım, sahte CAPTCHA) bulun ve aynı yolu kullanan diğer kullanıcıları kontrol edin.
  7. Cihazı temiz bir imajla yeniden kurun.
15

Kaynaklar

İlişkili aileler

Atomic macOS Stealer (AMOS)Poseidon StealerKarşılaştır

İlgili terimler

Dosyasız zararlı yazılımSistem araçlarıyla saldırı
Essential paketinden itibaren

Infostealer Detection

Kurumunuzun sızıntı yüzeyini tek ekranda görün: kaç bulgu, hangi önem derecesinde, hangi alan adında.

Ürünü incelePaketleri karşılaştırın