MacSyncステアラーRAT、偽のClaude導入ガイドでパスワードと暗号資産ウォレットを窃取

MacSyncと呼ばれる新たに発覚したmacOSマルウェアキャンペーンは、偽のClaude AIインストールガイドを悪用して6段階のステアラー兼リモートアクセス型トロイの木馬を展開します。Huntressが報告したこのキットは、ブラウザの認証情報、キーチェーンの秘密情報、暗号資産ウォレットを標的としています。

マルウェア除去サービス

攻撃はまず、被害者がGoogleで「how to install Claude on a Mac」と検索し、Anthropicの正規の検索結果ではなくスポンサー広告をクリックするところから始まります。すると偽の「Shared by Apple Support」バッジで偽装された、武器化されたclaude.ai/shareの会話ページに誘導されます。

このページは、Base64で難読化されたcurlコマンドをターミナルに貼り付けるよう指示します。実行するとagenticsora[.]comまたはmalwareaudit[.]comから密かにローダーを取得し、その際証明書の検証を回避します。

MacSyncステアラーRAT、偽のClaude導入ガイドを悪用

この誘導手口はAnthropic自身の信頼されたドメイン上で展開されるため、なりすましURLも証明書の警告も表示されず、疑念を抱かせる要素がありません。そのためこのソーシャルエンジニアリングは異例なほど説得力を持っています。

MacSyncは単一のペイロードではなく、互いに連動する6つの段階を経て展開されます。各段階は次の段階の準備を整える役割を担っています。最初の2段階は、バックグラウンドデーモンを膨張させる薄型のポリモーフィックなzshローダーで構成され、このデーモンがサーバー側のAppleScriptを取得し、後に窃取したアーカイブをHTTP経由で外部に送信します。

第3段階が実質的な中核部分で、約46KBのAppleScriptが偽のシステムダイアログを使って被害者にフルディスクアクセスを許可させ、dscl authonlyコマンドをサイレントオラクルとして使って実際のアカウントパスワードを検証します。その後、ブラウザのSafe Storageキー、キーチェーンの秘密情報、SSHおよびクラウドの認証情報、Telegramのセッション情報を収集します。

第4段階では、静的にリンクされたOpenSSLスタックを持つC++製のネイティブMach-O型RATがインストールされます。これはGoogle Keystone、Adobe ARM、Microsoft AutoUpdateといった正規のアップデーターを頻繁に装うLaunchAgentを通じて永続化を図ります。

第5段階は、あえて「Screen Recording」という名前が付けられた別署名のヘルパーアプリです。これによりTCC権限の許可プロンプトがmacOS純正の要求のように見え、攻撃者は画面キャプチャへのアクセス権を静かに獲得します。

最終段階では、Ledger Live、Ledger Wallet、Trezor Suiteを含む信頼されたハードウェアウォレットの連携アプリを書き換えます。これにより通常どおりにアプリを起動したように見えても、実際には偽の復元フローに誘導され、被害者のシードフレーズをフィッシングで窃取されます。

Huntressによれば、このステアラーは約60種類のウォレット用ブラウザ拡張機能、21種類のデスクトップ型ウォレットアプリケーション、そしてトロイの木馬化された3種類のハードウェアウォレット連携アプリを標的とするよう作られており、暗号資産の窃取が副次的な影響ではなくこのキャンペーンの中心的な目的であることを裏付けています。

この攻撃活動は複数のインフラ層に分かれています。Cloudflareを前面に配置した配信用ドメインに加え、ステアラーのビーコンで記録された別の攻撃者パネル用IPアドレス103.216.221[.]95、そしてRATのハンズオン制御に使われる専用の生IP TLSチャネル85.206.161[.]241:8443が組み合わされています。

窃取されたシードフレーズは最終的に、共有のウォレット窃取用エンドポイントを介して、攻撃者が登録したsdhomeinspectors[.]comやsouthcarolinacounselor[.]comなどのドメインに送信されます。

ソースコード全体に残されたロシア語のコメント、macOS特有の情報収集手法、そして自己申告的な「MacSync Stealer」というビルドタグは、このキットをより広範なAMOSまたはAtomic Stealer系統と結びつけています。ただし研究者らは、これは同一の作者による確認済みの関連性ではなく、あくまで系統的な類似性にすぎないとしています。

ファイルハッシュやビルドごとの識別子はコンパイルされたサンプルごとに変化するため、防御側は静的なシグネチャではなく振る舞いに基づいた検知を行うことが推奨されます。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的に無害化表記（例: [.]）にしています。再度有効な表記に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

Huntressは、zshに直接パイプされるcurlコマンド、ステアラーのロジックをその場で取得・実行するために使われるosascriptによるブリッジ、com.apple接頭辞のバンドル識別子を使ってApple社を装うアドホック署名アプリケーション、そしてシードフレーズ形式のJSONペイロードを含む外向きのネットワーク通信を監視するよう推奨しています。

新たに署名または再署名されたアプリケーションバンドルに紐づく、予期しないScreen RecordingやFull Disk Accessの許可付与も、優先度の高い侵害指標として扱うべきです。

警告: 20以上の政府系サイトが企業や市民にマルウェアを配布していました。 詳細な攻撃調査レポートはこちら から確認し、自組織の露出状況をチェックしてください。

マルウェア除去サービス