macOSユーザーを狙う、非常に洗練された新たなClickFixキャンペーンが確認されました。偽のCAPTCHAを悪用してTerminalコマンドを実行させ、Atomic macOS Stealer(AMOS)を密かに展開したうえで、暗号資産ウォレットやブラウザに保存された認証情報を組織的に窃取します。
今回のClickFixの進化は、Appleデバイスにおいて完全な侵害へ至る最も有効な経路が、脆弱性の悪用ではなくソーシャルエンジニアリングであり続けていることを改めて示しています。
このページでは、画像を選択したり文字を入力したりする代わりに、ユーザーにテキストブロックをコピーさせ、macOSのTerminalを開いてそのコマンドを貼り付け、Enterキーを押すよう指示します。
このコマンド1つで、感染の全プロセスが始動します。スクリプトは攻撃者が管理するサーバーからDMGディスクイメージをダウンロードし、ランダムに生成されたファイル名で/tmpディレクトリに保存します。
続いて、このDMGを密かにマウントします。Finderウィンドウは表示されず、デスクトップアイコンも作成されないため、一般的なユーザーにはこの動作が見えません。その間にスクリプトは埋め込まれたアプリケーションやインストーラーパッケージを探し出し、自動的に実行します。
今回のキャンペーンで確認されたペイロードの一つがAMOS(Atomic macOS Stealer)です。これは、過去のClickFixキャンペーンやChatGPTをテーマにしたmacOS攻撃でもすでに知られている情報窃取型マルウェアです。
実行後、AMOSは標準的なシステムダイアログを装った偽のmacOS認証プロンプトを表示し、ユーザーに管理者パスワードを入力させることで、マルウェアに昇格した権限を取得させます。
Malwareremoval service
こうして得た権限を使い、AMOSは価値の高いデータを組織的に外部へ送出します。Chromiumベースおよび Firefox系のブラウザを標的とし、Cookie、保存済みのログイン情報、オートフィルデータ、保存されたクレジットカード情報、プロフィール情報のほか、ローカルに保存されたPDF、TXT、RTF文書も収集対象となります。
Kasperskyの研究者らによると、このキャンペーンでは被害者が悪意のあるサイトまたは侵害されたサイトに誘導され、そこで説得力のあるCAPTCHA形式の「人間であることの証明」ゲートが表示され、コンテンツにアクセスする前に追加の確認手順が必要だと主張されるとのことです。
macOSのエコシステムも例外ではありません。Safariのcookie、Apple Notesの内容、そしてネイティブのKeychainに保存された認証情報も、すべて窃取対象に含まれます。
収集されたデータはZIPアーカイブにまとめられ、攻撃者のサーバーにアップロードされます。その後、このマルウェアは正規のLedgerやTrezorのアプリケーションをトロイの木馬化したバージョンに置き換え、ハードウェアウォレットの操作を横取りすることさえ可能です。
偽CAPTCHAを悪用するmacOS向けClickFix攻撃
ClickFixは元々、Windowsを対象としたソーシャルエンジニアリングの手口として登場しました。ユーザーに「ファンクション」ダイアログへコマンドを貼り付けさせ、ブラウザの不具合を「修正」させたり、検証チェックを通過させたりする手口です。
過去2年にわたり、研究者らはmacOS特有の複数の亜種を確認してきました。その中には、本物そっくりのChatGPTガイドや、タイポスクワッティングによる「Spectrum」ドメインに便乗し、同様のユーザー主導型の実行チェーンを通じてAMOSを配布するキャンペーンも含まれます。
このスティーラーは暗号資産に特に重点を置いており、Exodus、Electrum、Atomic Wallet、Wasabi、Bitcoin Core、Litecoin Core、DashCore、Guarda、Binance Wallet、Dogecoin Wallet、Tonkeeperといったデスクトップクライアントの設定やウォレットデータを列挙・収集するほか、200種類を超える暗号資産関連のブラウザ拡張機能も対象としています。
DataManagement
今回新たに報告された、偽CAPTCHAからDMGマウントに至る一連の流れは、ClickFixがmacOS上で完全に成熟したことを示しています。ネイティブのディスクイメージ処理、見えないマウント、本物らしいシステムプロンプトを組み合わせることで、ユーザーの警戒心やOSの防御機構を回避しているのです。
Kaspersky、Broadcom、CloudSEKなどのセキュリティベンダー各社は現在、こうしたキャンペーンを、macOSを標的とする情報窃取型マルウェアや暗号資産を狙う犯罪ソフトウェアの広範な増加傾向の一部として追跡しています。
このキャンペーンへの対策は、パッチ適用よりもむしろ利用者側の心構えにかかっています。CAPTCHAや本人確認、「ブラウザの修正」といった名目がどのようなものであれ、Webサイトの指示だけを理由にTerminalでコマンドを貼り付けたり実行したりしてはいけません。
管理者パスワードは、要求元のアプリケーションが十分に理解されており、かつ意図的にインストールしたものである場合に限って入力すべきであり、正体不明のWeb主導のワークフローに従って入力してはなりません。
macOSの自動セキュリティアップデートを有効にしておくことは依然として重要です。ただし研究者らは、現行バージョンではこうした悪意のあるTerminalコマンドを一貫して検知できるとは限らないと指摘しており、プラットフォーム側の防御機構を、不用意な判断に対する安全網として過信すべきではありません。
2026年、AI SOCに求められる機能とは? 完全チェックリスト : AI SOC機能チェックリストをダウンロード
翻訳元: https://gbhackers.com/macos-clickfix-attacks-use-fake-captchas/
