En el panorama de seguridad de macOS, las técnicas de defensa van evolucionando más allá de la simple lista de dominios comprometidos. Un informe reciente destaca que bloquear dominios ya no es suficiente para detener una amenaza cada vez más dinámica: MacSync Stealer, un infostealer diseñado para el ecosistema Apple, ha demostrado una infraestructura que se adapta rápidamente. Este malware roba contraseñas, datos de navegadores, cookies, secretos de Keychain, billeteras de criptomonedas, sesiones de Telegram y credenciales de SSH o en la nube, entre otros datos sensibles. Originalmente se distribuía mediante estafas ClickFix, donde la víctima era dirigida a un sitio malicioso que afirmaba resolver un problema inexistente y, al demostrar que necesitaba verificar su identidad, conducía a una ejecución de comandos que desplegaba el malware.

En las etapas iniciales, la defensa se enfocaba en bloquear los dominios que alojaban la infraestructura, los ejecutables y los datos exfiltrados. Sin embargo, esta estrategia mostró sus limitaciones: cada vez que se bloqueaba un dominio, aparecía otro y el ataque continuaba. Esta constatación impulsó una transición hacia un enfoque basado en el análisis conductual.

Análisis conductual y evidencia de colaboración

Un informe reciente de Microsoft describe cómo Defender Experts identificó más de 30 dominios analizando patrones conductuales como ejecuciones repetidas, características de las solicitudes, comportamientos de staging y métodos de subida de datos. La experiencia de Microsoft Defender permitió correlacionar puntos finales y comportamientos de red recurrentes para conectar más de 30 dominios y demostrar que la infraestructura soportaba no solo comunicaciones de mando y control (C2), sino también recopilación activa, puesta en escena y exfiltración. En palabras de Microsoft, este enfoque basado en comportamiento ofrece una visión más amplia de la operación que un simple bloqueo de dominios.

Implicaciones para la defensa: lo que mirar

Para defenderse contra MacSync Stealer, el énfasis debe estar en la vigilancia de señales de actividad en lugar de la simple lista de dominios. En concreto, la atención debe dirigirse a:
– Sesiones de shell que generan ejecuciones repetidas de curl con combinaciones de banderas específicas.
– Flujo de actividad de osascript que se entrelaza rápidamente con procesos de red.
– Archivos temporales que aparecen en /tmp/sync poco antes de que comience el tráfico de subida (PUT) saliente.

Conclusión

La experiencia reciente subraya una verdad creciente en ciberseguridad: defenderse contra amenazas sofisticadas requiere observar el comportamiento y la cadena de eventos, no solo bloquear sitios prohibidos. Una defensa basada en la detección de patrones y en la correlación de múltiples indicadores de actividad es capaz de desactivar infraestructuras dinámicas como la de MacSync Stealer, limitando su capacidad de recopilar y exfiltrar información confidencial.

from Latest from TechRadar https://ift.tt/Ep4xYml
via IFTTT IA