新たに発見されたWeb3関連の求人詐欺キャンペーンでは、偽の応募手続きを悪用してクロスプラットフォーム型の情報窃取マルウェアを配布しています。macOSおよびWindowsの両ユーザーを標的とし、プラットフォームごとに調整されたソーシャルエンジニアリングと、巧妙なデータ窃取の手口を組み合わせています。
relay[.]lcというドメイン経由で配布される悪意あるインストーラーを分析したセキュリティ研究者らは、このキャンペーンが正規の求人関連アプリケーションを装っていることを突き止めました。
しかしその内側では、両バリアントとも高度な認証情報窃取機能とウォレット狙いの機能を備えています。
攻撃の流れはOS間で大きく異なりますが、最終的にはどちらもマルウェアの静かな実行という同じ結果に行き着きます。
macOSの場合、被害者はターミナルを開き、ファイルをウィンドウにドラッグしてEnterキーを押すよう指示されます。
この操作によってシェルスクリプトが実行され、隠しディレクトリ「.back」内に隠された実行ファイルを/tmpにコピーし、xattr -cコマンドでmacOSの隔離属性を除去したうえで、nohupを使ってペイロードを静かに起動します。
注目すべき点として、このディスクイメージには正規の.appバンドルが一切含まれておらず、悪意ある意図が明白です。
一方、Windows版では説得力のある「更新中」インターフェースが表示されます。Electronで構築されNSIS経由でパッケージ化されたこのインストーラーは、一見正規のものに見える進捗バーを表示しますが、実際にはランダムな増分によって動いているだけです。
バーが80%に達すると、内部的にrunUpdateメッセージがトリガーされ、隠されたPowerShellコマンドが実行されます。
こうした偽装によって正当性があるかのような印象を与えつつ、裏では悪意ある活動が開始されます。
実行されると、両バリアントとも機密性の高いユーザーデータの収集に重点を置き、特に暗号資産ウォレットや認証システムを標的にします。
macOSでは、このマルウェアはシステムエラーを装ったAppleScriptダイアログを使い、ユーザーをだましてパスワードを入力させます。
このパスワードはlogin.keychain-dbの内容と組み合わされ、攻撃者は保存された認証情報を復号するための鍵と錠の両方を手に入れることになります。
tdataディレクトリの窃取によるTelegramセッションの乗っ取り。リカバリーフレーズやAPIキーといった機密データを狙ったApple Notesのスクレイピング。IPアドレス、ハードウェアUUID、インストール済みウォレットソフトウェアなどを含むシステムプロファイリング。
さらに、Sentryのテレメトリエンドポイントも悪用されて運用データが送信されており、攻撃者がマルウェアの実行状況をリアルタイムで監視していることがうかがえます。
このキャンペーンは、攻撃者がプラットフォーム固有のユーザー行動に合わせてマルウェア配布をますます巧妙に調整していることを示しています。
欺瞞的なインターフェースと深いデータ抽出技術を組み合わせることで、この脅威は個人の侵害にとどまらず、窃取された認証情報やセッショントークンを通じて組織的な侵害に発展する可能性がある、とMediumは述べています。
注: IPアドレスおよびドメインは、誤って名前解決やリンク化されるのを防ぐため意図的に無効化表記（例: [.]）としています。再有効化はMISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
SOC調査の死角を減らし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/fake-camera-scam-drops-malware/
