REX Cyber · Veille du 2026-09-08. Faits attribués à www.seqrite.com.
Les binaires MacSync détachent silencieusement, chargent des modules d’extraction de mots‑de‑passe en mémoire et exfiltrent vers l’infrastructure de la campagne.
Ce qui s’est passé
Les auteurs de www.seqrite.com rapportent les constatations suivantes :
- Les binaires MacSync détachent silencieusement, chargent des modules d’extraction de mots‑de‑passe en mémoire et exfiltrent vers l’infrastructure de la campagne.
- Le stager évite d'écrire des scripts de vol sur disque et transmet la réponse HTTPS à /usr/bin/osascript via stdin.
- Le programme Mach‑O détecte l’existence de /tmp/osalogging.zip, puis le supprime après exfiltration.
- Le programme appelle _stat$INODE64 sur /tmp/osalogging.zip et termine si le fichier est absent ou vide.
Acteurs et cibles
Acteurs rapportés
Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.
Cibles rapportées
Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.
Relations explicites de renseignement
- Cibles associées : Australia ; British Indian Ocean Territory ; Canada ; Defense ; Finance ; France ; Germany ; Government and administrations ; India ; Japan ; Netherlands ; Singapore ; Technologies ; United Kingdom of Great Britain and Northern Ireland ; United States of America
Ces relations publiques sont liées au rapport. Elles peuvent décrire une activité plus large que l’événement résumé ci-dessus.
MITRE ATT&CK
Techniques directement associées au rapport
Aucune technique MITRE structurée directement associée à ce rapport dans les données disponibles.
Répertoire associé aux acteurs et aux malwares
Les techniques suivantes sont liées à une entité présente dans le rapport. Cette association décrit son répertoire connu ; elle ne prouve pas leur emploi dans cet incident.
LummaC2
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
T1085 |
Rundll32 | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1218.011 — Rundll32 |
T1035 |
Service Execution | Execution | 50 | Révoquée dans le catalogue officiel ; remplacée par T1569.002 — Service Execution |
T1574.002 |
DLL Side-Loading | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1574.001 — DLL |
Stealc
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
T1107 |
File Deletion | Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1070.004 — File Deletion |
T1086 |
PowerShell | Execution | 50 | Révoquée dans le catalogue officiel ; remplacée par T1059.001 — PowerShell |
T1158 |
Hidden Files and Directories | Persistence, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1564.001 — Hidden Files and Directories |
T1179 |
Hooking | Credential Access, Persistence, Privilege Escalation | 50 | Révoquée dans le catalogue officiel ; remplacée par T1056.004 — Credential API Hooking |
T1574.002 |
DLL Side-Loading | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1574.001 — DLL |
MacSync
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
T1574.002 |
DLL Side-Loading | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1574.001 — DLL |
Vidar
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
T1107 |
File Deletion | Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1070.004 — File Deletion |
| Identifiant absent | TA0037 | Non renseignées dans les données | 50 | Non vérifié dans le catalogue officiel |
T1574.002 |
DLL Side-Loading | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1574.001 — DLL |
T1022 |
Data Encrypted | Exfiltration | 50 | Révoquée dans le catalogue officiel ; remplacée par T1560 — Archive Collected Data |
Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.
Les libellés, tactiques et statuts sont complétés par le catalogue officiel ATT&CK consulté le 2026-10-10T15:49:47Z. Un remplacement officiel conserve l’identifiant d’origine de la source et ne crée pas une nouvelle preuve d’incident.
Entités et contexte du rapport
- Région : Americas ; confiance : 100/100
- Région : Southern Asia ; confiance : 100/100
- Région : Western Europe ; confiance : 100/100
- Pays : Singapore ; alias : SG, SGP ; confiance : 100/100
- Secteur : Technologies ; alias : Bitcoin, Crypto, Cryptocurrency, Currency Exchange, IT, Information Security, Software Development, Technology, Virtual Currency, Vulnerability Research, software ; confiance : 100/100
- Région : Australia and New Zealand ; confiance : 100/100
- Pays : France ; alias : FR, FRA ; confiance : 100/100
- Région : Sub-Saharan Africa ; confiance : 100/100
- Pays : Canada ; alias : CA, CAN ; confiance : 100/100
- Pays : United States of America ; alias : US, USA ; confiance : 100/100
- Région : Northern America ; confiance : 100/100
- Pays : Australia ; alias : AU, AUS ; confiance : 100/100
- Région : Eastern Asia ; confiance : 100/100
- Malware : LummaC2 ; is_family : False ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
- Secteur : Finance ; alias : Financial, Financial Industry (FI), Financial Services, Financial-Services ; confiance : 100/100
- Pays : India ; alias : IN, IND ; confiance : 100/100
- Région : Oceania ; confiance : 100/100
- Région : Europe ; confiance : 100/100
- Pays : Japan ; alias : JP, JPN ; confiance : 100/100
- Région : Asia ; confiance : 100/100
- Secteur : Defense ; alias : Defence, National Security ; confiance : 100/100
- Malware : Stealc ; alias : win.stealc ; is_family : True ; malware_types : bot ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
- Pays : Netherlands ; alias : NL, NLD ; confiance : 100/100
- Région : Africa ; confiance : 100/100
- Malware : MacSync ; alias : osx.macsync ; is_family : True ; malware_types : bot ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
- Région : South-eastern Asia ; confiance : 100/100
- Pays : Germany ; alias : DE, DEU ; confiance : 100/100
- Malware : Vidar ; alias : win.vidar ; is_family : False ; malware_types : bot ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
- Région : Northern Europe ; confiance : 100/100
- Secteur : Government and administrations ; alias : Election, Government, Voting ; confiance : 100/100
- Pays : United Kingdom of Great Britain and Northern Ireland ; alias : GB, GBR ; confiance : 100/100
- Pays : British Indian Ocean Territory ; alias : IO, IOT ; confiance : 100/100
Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.
Relations entre les entités nommées
| Origine | Relation déclarée | Destination | Confiance / statut |
|---|---|---|---|
| Stealc | cible | India | 50/100 |
| MacSync | cible | Singapore | 50/100 |
| India | situé dans | Southern Asia | 100/100 |
| MacSync | cible | Australia | 50/100 |
| Stealc | cible | Netherlands | 50/100 |
| British Indian Ocean Territory | situé dans | Sub-Saharan Africa | 100/100 |
| Vidar | cible | Government and administrations | 50/100 |
| LummaC2 | cible | United States of America | 50/100 |
| Vidar | cible | Germany | 50/100 |
| Netherlands | situé dans | Western Europe | 100/100 |
| LummaC2 | cible | India | 50/100 |
| MacSync | cible | Germany | 50/100 |
| Stealc | cible | Germany | 50/100 |
| MacSync | cible | Netherlands | 50/100 |
| United Kingdom of Great Britain and Northern Ireland | situé dans | Northern Europe | 100/100 |
| Singapore | situé dans | South-eastern Asia | 100/100 |
| Stealc | cible | British Indian Ocean Territory | 50/100 |
| LummaC2 | cible | Canada | 50/100 |
| Western Europe | situé dans | Europe | 100/100 |
| Stealc | cible | Singapore | 50/100 |
| Northern America | situé dans | Americas | 100/100 |
| Vidar | cible | Netherlands | 50/100 |
| France | situé dans | Western Europe | 100/100 |
| LummaC2 | cible | Singapore | 50/100 |
| Stealc | cible | United States of America | 50/100 |
| MacSync | cible | Government and administrations | 50/100 |
| Vidar | cible | Japan | 50/100 |
| MacSync | cible | Japan | 50/100 |
| Stealc | cible | Technologies | 50/100 |
| LummaC2 | cible | Finance | 50/100 |
Les 30 premières relations entre entités nommées sont affichées. Le JSON contient toutes les relations publiques retenues, y compris celles des IOC.
IOC et observables pour la recherche
9 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.
Statuts de validité calculés au 2026-10-10T15:49:36+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.
La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.
| Type | Valeur neutralisée | Qualification | Confiance | Usage / validité |
|---|---|---|---|---|
| domain | drivinguber[.]com |
Indicateur | 50 | Dans la période de validité déclarée |
| domain | newsinweb[.]com |
Indicateur | 50 | Dans la période de validité déclarée |
| md5 | 9678f71ea4cccbc3d511dc8d7f24b113 |
Indicateur | 50 | Dans la période de validité déclarée |
| md5 | de62a2f47d1c7dec2997f931a050a615 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha1 | 59508d071661ea70fa5fcbe6f9e2fb72506e57df |
Indicateur | 50 | Dans la période de validité déclarée |
| sha1 | d182eb7cba0ffa42d770d7b0d3499e49f24163a2 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 9ff32f7c0108e9d27a3b491edf04827b6ca025f44db68aeadc44eeb97c9aab11 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | c4f70f37daae63fe47b0c92adf006f8cf50b6c522ad572a4014275cf979013a0 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | d182eb7cba0ffa42d770d7b0d3499e49f24163a2662494ae615713c5f04b5260 |
Indicateur | 50 | Dans la période de validité déclarée |
Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)
Comment utiliser les exports
Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.
Couverture et provenance
Rapport publié le 2026-09-08T12:29:01.266Z ; 54 objets publics et 134 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. 4 patterns non pris en charge ou valeurs invalides ont été exclus de l’export. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.
Texte de la source publique lu : extrait de 11099 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.
- Titre source : MacSync: The Evasive macOS Stealer Exploiting ClickFix Lures
- Types de rapport : threat-report
- Labels : applescript, clickfix, credential theft, cryptocurrency wallets, lummac2, maas, macos stealer, macsync, obfuscation, social engineering, stealc, vidar
- Confiance du rapport : 50/100
- Création déclarée par la source : 2026-09-08T12:29:01.266Z
- Modification déclarée par la source : 2026-09-25T22:42:10.348Z
- Import de l’objet de renseignement : 2026-09-25T22:39:20.311Z
- Mise à jour de l’objet de renseignement : 2026-09-25T22:42:10.348Z
Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.
Source
MacSync: The Evasive macOS Stealer Exploiting ClickFix Lures — www.seqrite.com.