Sapphire Sleet、macOSマルウェアでcurlからosascriptへの実行チェーンを悪用——多段階ペイロード配信を確認

Sapphire Sleetが展開する最新のmacOSキャンペーンでは、細工された.scpt形式のAppleScriptファイルをおとりとして用い、curlの出力を直接osascriptにパイプする手法を採用しています。これにより、Script Editor内で完結するコンパクトな多段階ペイロードチェーンが実現し、macOSに組み込まれた多くの保護機能を回避することが可能です。

感染の起点となるのは、ソーシャルエンジニアリングで作成された偽のSDKやアップデート用AppleScriptファイルです。「Zoom SDK Update.scpt」や「msteams sdk update.scpt」といったファイルがmacOSのScript Editorで開かれると、一見無害な長いコメントブロックが表示される一方、悪意のあるロジックは表示領域より下に隠されています。

被害者がファイルを開くと、スクリプトはcurlを呼び出してリモートのAppleScriptステージを取得し、取得したコンテンツをosascriptへ直接パイプします（curl | osascript）。

これにより連鎖的なAppleScriptステージが起動し、追加コンポーネントのダウンロード、C2へのホスト登録、バックドアおよびクレデンシャルハーベスタの展開が、初期ステージをディスクに書き込むことなく実行されます。

Microsoftの脅威インテリジェンスチームによると、この活動は北朝鮮系脅威アクターであるSapphire Sleetによるものと断定されています。同アクターは、ソーシャルエンジニアリングのおとり、配信インフラ、ステージングパターンを継続的に改善しており、最近ではTeamsをテーマにした亜種も確認されています。

このcurl→osascriptのチェーン手法には運用上の利点があります。ユーザーが起点となる実行コンテキストを保持することでGatekeeper・公証・検疫チェックを回避できるほか、mac-cur1からmac-cur5といった固有のユーザーエージェント識別子を使用することで、ステージごとに動的なペイロード選択が可能になります。

Sapphire Sleet macOSマルウェアの詳細

mac-cur1ステージはオーケストレーターとして機能し、ホスト監視コンポーネントを展開します（亜種によって「com.apple.cli」または「com.microsoft.helper」として確認されています）。

このサービスバックドアはlaunch plistを通じて永続化を確立します。また、mac-cur2およびmac-cur4はクレデンシャルハーベスタアプリ（systemupdate.app）を配信します。このアプリはネイティブアプリを装ったパスワード入力プロンプトを表示し、確認済みのクレデンシャルをTelegram Bot API経由でアクターに送信します。

データ収集を広範に展開するため、Sapphire SleetはmacOSの透明性・同意・制御（TCC）保護機能を、ユーザーのTCCデータベースをプログラム的に操作することで回避しています。

このキャンペーンでは、FinderにTCCフォルダへの読み書きアクセスを強制的に許可させ、Apple署名要件に紐付けられたsqlite3エントリ経由でosascriptにAppleEventsの許可を注入し、その後データベースを復元することで、osascriptにファイル収集と自動化に必要なサイレントなAppleEvents権限を付与します。

TCCの改ざんが完了すると、マルウェアはブラウザプロファイルおよびIndexedDBのウォレットデータ、キーチェーンファイル（取得したパスワードで復号可能）、Telegramのセッションデータ、デスクトップウォレットファイル（Ledger Live、Exodus）、SSHキー、Appleメモ、システムログといった高価値な情報資産を列挙・窃取します。窃取にはnohupを使用したアップロードと、デバイスUUIDに紐付けられた一貫したアップロードヘッダーが使用されます。

情報開示を受け、MicrosoftとAppleは連携して緩和策を講じました。Appleはワシントン州からXProtectシグネチャとSafe Browsingによる保護を展開し、MicrosoftはDefenderの検知を拡充するとともに、パイプ経由のcurl実行や不審なosascriptアクティビティを監視するためのハンティングクエリと行動ガイダンスを公開しました。

推奨される対策には、.scptの実行および未署名バイナリのブロックまたは監査、curlからインタープリタへのパイプ処理の制限またはアラート設定、Library/Application Support/com.apple.TCC/TCC.db操作の監視、機密アプリへの最小権限の徹底、そしてハードウェアウォレットの活用とクレデンシャルのローテーションによる暗号資産ワークフローの保護が含まれます。

類似インシデントを調査するセキュリティ担当者向けに、Microsoftのブログ記事には詳細な侵害の痕跡（IoC）、検知名、ハンティングガイダンスが掲載されています。また、セキュリティメディアの公開レポートは、連鎖するcurl→osascriptステージおよびTeams/Zoomをテーマにしたおとりの使用をまとめています。

セキュリティチームは、特にコンパイル済みAppleScript（.scpt）ファイルのダウンロードや実行を求める一方的なリクエストをすべて高リスクと判断し、実行前にベンダーの公式チャネルを通じてダウンロードを確認するようにしてください。

侵害の痕跡（Indicators of Compromise）

悪意のあるファイルハッシュ

注意： IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化された形式（例：[.]）で記載しています。再有効化は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。