Pengguna Mac perlu mewaspadai MacSync Stealer, malware pencuri informasi yang menargetkan perangkat macOS. Malware ini dapat mengumpulkan berbagai data sensitif, mulai dari kredensial dan cookie browser hingga informasi macOS Keychain, kunci SSH, kredensial cloud, dan file tertentu.

Microsoft Defender Experts mengidentifikasi lebih dari 30 domain yang berkaitan dengan infrastruktur MacSync Stealer. Temuan ini diperoleh dengan mencocokkan pola aktivitas pada perangkat dan jaringan, meski domain yang digunakan penyerang terus berganti. Microsoft juga memastikan adanya aktivitas eksfiltrasi data, bukan sekadar komunikasi awal dengan server penyerang.

MacSync Stealer Bisa Mencuri Berbagai Data Sensitif

MacSync merupakan jenis information stealer yang dirancang untuk mencari informasi berharga di perangkat korban. Data yang diincar tidak terbatas pada password, tetapi juga informasi yang dapat digunakan untuk mengakses akun dan layanan lain.

Microsoft menemukan bahwa malware ini dapat mencari:

• Informasi perangkat dan pengguna.
• Data macOS Keychain.
• Kredensial, cookie, dan sesi browser.
• Riwayat browser dan Apple Notes.
• Kunci Secure Shell (SSH).
• Kredensial Amazon Web Services (AWS).
• Konfigurasi Kubernetes.
• File sensitif di direktori pengguna.

Jika data tersebut berhasil dicuri, penyerang berpotensi mengakses akun atau layanan lain yang terhubung dengan perangkat.

Baca Juga: Tanda Akun AI Diretas dan Cara Mengamankannya

Serangan Bisa Berawal dari Perintah Terminal

Menurut Microsoft, aktivitas yang diamati dimulai dari sesi interaktif zsh Terminal dan memiliki pola yang konsisten dengan teknik rekayasa sosial ClickFix. Teknik ini dapat mendorong pengguna menjalankan perintah tertentu setelah berinteraksi dengan konten yang tampak meyakinkan.

Setelah itu, curl digunakan untuk mengambil payload dari server yang dikendalikan penyerang. Payload kemudian diproses menggunakan utilitas bawaan seperti Base64 dan gunzip. Aktivitas juga dapat melibatkan osascript untuk menjalankan perintah melalui AppleScript.

Beberapa tahapan yang diamati meliputi:

• Pengguna mengikuti instruksi dari sumber tidak terpercaya.
• Perintah dijalankan melalui Terminal atau zsh.
• curl mengambil payload berbahaya.
• Payload didekode atau dibongkar sebelum dijalankan.
• AppleScript digunakan untuk membantu eksekusi.

Karena memanfaatkan utilitas bawaan sistem, aktivitas tersebut tidak selalu terlihat seperti instalasi aplikasi berbahaya biasa.

Data Dicuri dan Dikirim ke Server Penyerang

Setelah mengumpulkan informasi, MacSync melakukan proses staging sebelum mengirimkannya. Data dapat disimpan sementara pada direktori dengan pola /tmp/sync*, kemudian dikompresi menjadi /tmp/osalogging.zip.

Arsip tersebut lalu dipecah menjadi beberapa bagian dan dikirim menggunakan curl melalui HTTP PUT. Beberapa indikator yang dapat diperhatikan, antara lain:

• Pembuatan arsip pada direktori sementara.
• Penggunaan HTTP PUT untuk mengunggah data.
• Parameter upload_id, chunk_index, dan total_chunks.
• Penghapusan arsip dan folder sementara setelah pengiriman.

Penghapusan artefak tersebut dapat menyulitkan proses investigasi apabila perangkat tidak memiliki pemantauan keamanan yang memadai.

Baca Juga: Jangan Abaikan Update iOS 26.6.1, Ini Risiko Keamanan Data

Microsoft Temukan Lebih dari 30 Domain

Microsoft membagikan lebih dari 30 domain yang diamati dalam aktivitas konsisten dengan MacSync Stealer. Beberapa di antaranya adalah:

• aihealthring[.]com
• chatbasedos[.]com
• fintelliganceai[.]com
• intopython[.]com
• lalandscapelighting[.]com
• lumenagnet[.]com
• nailscanai[.]com
• numericagent[.]com
• plethorawallet[.]com
• ricewaterbeauty[.]com
• sandiegotkd[.]com
• vastbets[.]com

Microsoft menghubungkan domain tersebut berdasarkan pola aktivitas endpoint dan jaringan, bukan hanya alamat situs. Pola yang diamati mencakup jalur /curl/, /dynamic?txd=, dan /gate?buildtxd=, penggunaan API-key header, serta mekanisme unggah data secara bertahap.

Cara Mengurangi Risiko MacSync Stealer

Kasus ini menunjukkan bahwa pengguna Mac tetap perlu memperhatikan keamanan perangkat, terutama ketika serangan melibatkan rekayasa sosial. Pengguna sebaiknya tidak menjalankan perintah Terminal dari sumber yang tidak dapat diverifikasi.

Beberapa langkah yang dapat dilakukan, yaitu:

• Jangan menyalin perintah Terminal dari situs atau pesan yang tidak terpercaya.
• Rutin memperbarui macOS dan aplikasi.
• Gunakan perlindungan endpoint yang mampu memantau aktivitas mencurigakan.
• Aktifkan autentikasi tambahan untuk akun penting.
• Perhatikan aktivitas Terminal, zsh, dan shell yang muncul secara tidak biasa.
• Pantau akses terhadap Keychain dan kredensial.
• Selidiki koneksi menuju domain mencurigakan atau baru terdaftar.

Apple juga telah menyediakan sejumlah perlindungan pada macOS 26.4 dan versi setelahnya, termasuk Terminal paste protection, pemblokiran perintah tertentu dari pasteboard, serta pemindaian AppleScript. Namun, fitur keamanan tersebut tetap perlu didukung dengan kebiasaan pengguna yang aman dan pengelolaan keamanan perangkat secara menyeluruh.