新たに確認されたmacOS向け脅威「MacSync」は、認証情報の窃取、キーチェーンの収集、ネイティブなリモートアクセス型トロイの木馬(RAT)を6段階の攻撃チェーンに組み合わせ、被害者のブラウザやアカウント、暗号資産ウォレットを根こそぎ奪う仕組みになっています。
Huntressのセキュリティ研究者は、あるインシデントの調査中にこのマルウェアを発見しました。被害者がClaude AIのインストール手順を検索していたところ、悪意ある広告経由でマルウェアの実行に誘導されていたということです。
感染の発端は、被害者がGoogleで「how to install Claude on a Mac」を検索し、Anthropicの正規のオーガニック検索結果ではなくスポンサー広告をクリックしたことでした。被害者はApple Supportのインストールガイドを装った、悪意あるclaude.ai/shareの会話ページに誘導されました。
このページは、難読化された1行のcurlコマンドをターミナルに貼り付けるよう指示しており、これによって攻撃者のインフラであるagenticsora[.]comからMacSyncのローダーが密かに取得される仕組みになっていました。
この手口は、汚染されたAIチャットボットの会話を通じてAMOSスチーラーやSectopRATを配布した過去のキャンペーンと共通しており、攻撃者が偽サイトのドメインではなく、信頼されたAIプラットフォームの悪用をますます強めていることを示しています。
MacSyncは単一のペイロードとして実行されるのではなく、段階を踏んで展開されます。悪意あるロジックの大部分はエンドポイント上に置かれず、攻撃者のサーバー側でAPIキーによるゲートの背後に隠されています。
薄型のzshローダーが第2段階のスクリプトを膨張させ、サーバー側のAppleScriptスチーラーを取得します。このスチーラーは被害者を騙してフルディスクアクセス権限を許可させ、盗んだアカウントのパスワードをAppleのdscl認証サービスに対して検証し、キーチェーンから直接Chromiumブラウザのセーフストレージキーを収集します。
同じ段階で、macOSのLaunchAgentを通じて永続化する、静的リンクのMach-O形式のRATもインストールされます。このRATはGoogle KeystoneやAdobe ARMといった正規のアップデーターを装うことで通常のシステム動作に紛れ込み、ハードコードされたIPベースのコマンドサーバーと暗号化されたWebSocketチャネルで通信します。
このRATと並行して、「Screen Recording」という表示名を偽装した別署名のヘルパーが使われ、TCCの画面キャプチャ権限を密かに取得します。これにより攻撃者は任意のタイミングで被害者のデスクトップを閲覧できるようになります。
最終段階では、Ledger LiveやTrezor Suiteといったハードウェアウォレットのコンパニオンアプリをトロイの木馬化し、書き換えを行います。これにより、一見通常のアプリ起動が偽のリカバリーフローにつながり、被害者のシードフレーズをフィッシングで盗み取ります。
もっとも、このマルウェアの主眼は暗号資産にあります。約60種類のウォレット向けブラウザ拡張機能、21種類のデスクトップ型ウォレットアプリ、そして3種類のトロイの木馬化されたハードウェアウォレットのコンパニオンアプリを対象に構築されており、何も知らないユーザーからリカバリーフレーズを継続的にフィッシングで奪う仕組みになっています。
この攻撃活動は3つの異なるインフラ階層にまたがっています。agenticsora[.]comやmalwareaudit[.]comといったCloudflareを前面に立てた配布用ドメイン、スチーラーのビーコンに記録された攻撃者のIPアドレス103.216.221[.]95、そしてRATの制御に使われる専用の生IPベースTLSチャネル85.206.161[.]241:8443が含まれます。
ロシア語のコードコメント、「MacSync Stealer」バージョン1.1.2_releaseという自己ブランディング、そして共通する運用パターンから、このマルウェアはAMOS/Atomic Stealer系統に位置づけられます。ただし研究者は、特定の脅威アクターへの正式な帰属までは踏み込んでいません。
SOC調査の死角をなくし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/macsync-stealer-rat-targets-macos/
