新たに発見されたサイバー攻撃キャンペーンが、巧妙なソーシャルエンジニアリングを駆使してWeb3業界の専門家を標的にしています。偽の求人面接を装い、暗号資産ウォレットや認証情報、機密性の高いシステムデータを窃取するクロスプラットフォーム対応の情報窃取マルウェアを展開しています。
アンチマルウェアソフトウェア
この攻撃は、脅威アクターが採用担当者になりすまし、求職者に面接の機会を持ちかけるところから始まります。
被害者は悪意のあるドメイン「relay.lc」へ誘導されます。このサイトは「Relay」というブランド名で、AI搭載プラットフォームを装っています。
サイトはリアルタイム文字起こしやAI要約といった、一般的な企業向けコラボレーション機能を謳っており、リモート採用プロセスとして違和感のないワークフローに見せかけています。
WindowsとmacOSの両方のシステム向けにダウンロードリンクが用意されており、そこから感染の連鎖が始まります。
技術的な分析の結果、両プラットフォーム向けのインストーラーはいずれも一見無害なユーザーインターフェースを装いつつ、内部は強力に武器化されていることが判明しています。macOS版では、ダウンロードされる「Relay.dmg」に正規の.appバンドルが一切含まれていません。
その代わりに、非表示のディレクトリ（.back）に隠された実行ファイルが格納されています。ユーザーはターミナル経由でスクリプトを実行するよう指示されますが、このスクリプトはペイロードを/tmpディレクトリにコピーし、xattr -cコマンドでmacOSの隔離属性を除去したうえで実行権限を付与し、バックグラウンドで静かにマルウェアを起動します。
この手法は、システムの脆弱性を悪用することなく、macOS標準のセキュリティ警告を実質的に回避してしまいます。
実行されると、macOS版のペイロードはシステムの認証プロンプトを模倣した偽のAppleScriptダイアログを通じて認証情報の窃取を開始します。
被害者は互換性の問題を口実に、システムパスワードの入力を求められます。それと同時に、マルウェアはmacOSのログインキーチェーンデータベース（~/Library/Keychains/login.keychain-db）を抽出し、パスワードと暗号化された認証情報ストアの両方を外部送信できるよう準備します。
SlowMistの脅威インテリジェンスプラットフォーム「MistEye」が特定したこの活動は、高価値なブロックチェーンおよび暗号資産ユーザーを狙う、採用をテーマにした攻撃の増加傾向を浮き彫りにしています。
認証情報の窃取にとどまらず、macOS版にはChrome、Brave、Edge、Arcといったブラウザを標的にした広範なデータ収集機能も含まれています。
辞書＆百科事典
保存済みのパスワード、クッキー、自動入力データに加え、MetaMask、Phantom、Trust Walletといった暗号資産ウォレットの拡張機能も抽出対象です。
さらに、Telegramデスクトップ版のセッションデータ（tdataディレクトリ）も標的にしており、SlowMistの過去の調査で詳述されているとおり、これによりアカウント乗っ取りが可能になる恐れがあります。
加えて、Apple Notesの内容も収集対象となっており、ニーモニックフレーズやAPIキーをローカルに保存しているユーザーにとってはリスクとなります。
Web3向け偽求人面接ソフト
Windows版は、これとは異なるものの同様に巧妙な実行の連鎖を採用しています。Electronベースのアプリケーションとしてパッケージ化されており、偽の「更新中」画面を表示します。進捗はランダムな増分によって人為的に生成されたものです。
進捗が80%に達すると、アプリケーションは隠された実行フローを起動し、「powershell -ExecutionPolicy Bypass -Verb RunAs」というコマンドで昇格した権限のPowerShellを呼び出し、署名のないバイナリ（updater.exe）を起動します。
この二次ペイロードは、レジストリのRunキー・RunOnceキーやスタートアップフォルダなど複数の仕組みを通じて永続化を確立し、エントリを「Windows Update」や「WindowsSysUpdateCheck」に偽装します。
続いて、ChromeやBraveの拡張機能プロセスのメモリをスキャンするなど、高度なデータ窃取手法へと進みます。
syncPasswordAndUnlockWalletといったウォレット関連の関数呼び出しを検索することで、マルウェアはプロセスメモリから直接機密性の高いランタイムパラメータを抽出し、HTTPS POSTリクエストを通じて外部へ送信します。
アンチマルウェアソフトウェア
注目すべきは、Windows版とmacOS版の検体が共通のコマンド＆コントロール基盤（cdnresolver.com）を利用している点です。技術的な実装は異なるものの、これは連携した一つのキャンペーンであることを示しています。
Windows版の検体にはSentryのテレメトリエンドポイントも組み込まれており、攻撃者側が感染の成功状況とデータ流出をリアルタイムで監視するために利用している可能性があります。
MistEyeはrelay.lcを「高リスク」に分類しており、このキャンペーンがソフトウェアの脆弱性に依存するのではなく、ユーザーの信頼とプラットフォーム固有の挙動を悪用するものであることを強調しています。
ブラウザのセッション情報、パスワードマネージャー、暗号資産ウォレット、Telegramアカウント、システム識別子など、狙われるデータの範囲の広さは、一度の感染が個人・組織双方の資産にわたる広範な侵害につながりかねないことを示しています。
今回のキャンペーンは、Web3を標的とした脅威がますます高度化している実態を浮き彫りにしています。攻撃者はソーシャルエンジニアリングと専用に調整されたマルウェアを組み合わせ、リモートワーク文化と高価値な暗号資産環境の接点を突いているのです。
IOC（侵害指標）
| 種別 | 値 |
|---|---|
| ドメイン | relay[.]lc |
| ドメイン | e1[.]cdnresolver[.]com |
| ドメイン | a2[.]cdnresolver[.]com |
| ドメイン | cdnresolver[.]com |
| URL | https[:]//e1[.]cdnresolver[.]com/m/test |
| URL | https[:]//a2[.]cdnresolver[.]com/m/test |
| URL | https[:]//e1[.]cdnresolver[.]com/lk/p1 |
注: IPアドレスおよびドメインは、誤ってアクセスされたりリンク化されたりするのを防ぐため、意図的に無効化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMといった管理された脅威インテリジェンス基盤の中でのみ行ってください。
2026年、AI SOCに求められる機能とは？完全チェックリスト : AI SOC機能チェックリストをダウンロード
翻訳元: https://gbhackers.com/fake-web3-job-interview-software/
