何気ないインターネット検索が、macOSの完全な侵害につながることがあります。偽のシステムアップデート通知がユーザーを騙して悪意あるコマンドを自ら実行させ、埋め込まれたバックドアはハードコードされたサーバーではなく、イーサリアムのスマートコントラクトからコマンド&コントロール(C2)のアドレスを取得するのです。
攻撃の始まり方
AllSecureの研究者らがClickFix-EtherHiding-DPRK分析の中で詳述しているように、この感染チェーンは悪意ある広告、もしくは侵害されたウェブサイトに埋め込まれたページから始まります。
ブラウザは強制的に全画面モードにされ、通常のナビゲーション操作を排除した、非常に説得力のあるmacOS再起動シーケンスの模倣画面が表示されます。続いてページは重大なシステムアップデートがあると告げ、訪問者に対しターミナルを開き、あらかじめひそかにクリップボードにコピーされているコマンドを貼り付けてEnterキーを押すよう指示します。
重要なのは、ユーザーがこの指示に従わない限り感染は発生しないという点です。つまり被害者自身が感染の引き金となります。
ClickFix手法の解説
ClickFixとして知られるこのソーシャルエンジニアリング手法は、ユーザーがシステムレベルのプロンプトに対して抱く暗黙の信頼を悪用します。正規のOSインターフェースを模倣し、全画面ロックによって逃げ道を塞ぐことで、攻撃者は指示に従わせる可能性を大幅に高めています。
この手口は、ターミナルに不慣れなユーザーに対して特に効果的です。そうしたユーザーは、進行中のセキュリティ侵害ではなく、日常的なメンテナンス作業だとこのプロンプトを受け止めてしまう可能性があります。
Node.jsバックドアとその永続化メカニズム
コマンドが実行されると、Node.jsで書かれた高度に難読化されたバックドアがダウンロードされます。このインプラントは、複数の手法を重ねて永続化を確立します。
永続化の多層構造
このバックドアはLaunchAgentとして自らを登録し、ログイン時に自動的に再起動されるようにします。さらに~/.zshrcファイルにエントリを追加し、システムキャッシュディレクトリ内にも自身のコピーを配置します。これら3つの永続化メカニズムが組み合わさることで、安易な駆除を困難にしています。
JavaScriptによるリモートコード実行
このバックドアはおよそ5分ごとにコマンド&コントロールサーバーと通信し、受信したJavaScriptペイロードをevalで実行します。このアーキテクチャにより、運用者は追加のバイナリを展開することなく、侵害したMacを完全にリモート制御できます。
EtherHiding:ブロックチェーンに隠されたC2インフラ
コマンド&コントロールサーバーのアドレスは、マルウェア自体には一切保存されません。代わりにこのバックドアは、公開アクセス可能なネットワークノードを通じて2つのイーサリアムスマートコントラクトに問い合わせ、現在の設定情報を取得します。
EtherHidingと呼ばれるこの手法は、マルウェアをそのインフラから事実上切り離します。スマートコントラクト自体が直接コマンドを発行するわけではなく、単に運用者がその時点で接続させたい場所へバックドアを誘導するだけです。
なぜテイクダウンが極めて困難になるのか
インフラの更新には、ブロックチェーンに新しいアドレスを書き込むだけで済みます。バックドア自体を再展開したり更新したりする必要は一切ありません。そのため、ハードコードされたIPアドレスやドメインをブロックするといった従来の脅威インテリジェンスの手法は、このアーキテクチャに対してはほとんど効果がありません。
データ窃取:インフォスティーラーが狙うもの
このバックドアが持つ二次的なペイロードは、包括的なインフォスティーラーです。157種類にも及ぶ個別の暗号資産ウォレットアプリケーションに関連するファイルを体系的に検索するほか、保存されたブラウザのパスワード、セッションクッキー、閲覧履歴、SSHキー、クラウドサービスの保存済み認証情報も対象とします。
隠されたChrome拡張機能
さらにこのマルウェアは、「Google Drive Offline」を装った不正なChrome拡張機能をひそかにインストールします。この拡張機能にはすべてのウェブサイト、クッキー、ブラウザのデバッグインターフェースへのアクセス権限が付与され、たとえ主要なバックドアが後から除去されたとしても、攻撃者にブラウザレベルでの持続的な監視経路を提供してしまいます。
攻撃者の特定:北朝鮮の脅威グループUNC5342との関連
AllSecureの研究者らは、この攻撃手法をContagious Interviewキャンペーンと関連のある北朝鮮の脅威アクター、UNC5342によるものと判断しています。この帰属判断を裏付ける複数の指標が確認されています。
ClickFixの誘導手法、暗号資産や認証情報を意図的に狙う標的選定、evalベースのJavaScript実行、そしてブロックチェーンに紐づけられたコマンド&コントロールインフラ――これらはいずれも、これまで報告されてきたUNC5342の手口と一致します。
ただし、2つの異なる資金経路を分析した結果からは、単一の運用者がインフラの両方の構成要素を同時に管理していたと断定するには至りませんでした。
資金の流れを追う
イーサリアムのスマートコントラクトを展開したウォレットは、KuCoinおよびBinanceを経由した資金を受け取っていました。関連する資金経路の一つでは、281件の個別取引を通じて464.8 ETH(約89万ドル相当)が集められていました。
スマートコントラクト自体の残高は常にゼロに保たれていました。その唯一の役割は設定情報の保管であり、オンチェーン上にほとんど痕跡を残さない、意図的に最小限に抑えられた設計となっています。
コマンドを実行してしまった場合の対処法
ユーザーは、ターミナルにコマンドを貼り付けるよう指示するタブがあれば、直ちに閉じるべきです。正規のソフトウェアアップデートやシステムメンテナンスの手順で、このような操作が必要になることは決してありません。
もしすでにコマンドを実行してしまった場合は、直ちに該当のMacをすべてのネットワークから切り離す必要があります。推奨される対処手順は以下のとおりです。マルウェアが作成したLaunchAgentのエントリと関連するすべてのキャッシュファイルを削除すること。インストール済みのChrome拡張機能をすべて確認し、意図的にインストールしたものではない拡張機能を削除すること。すべてのパスワードを、侵害されていないクリーンな端末から変更すること。そして、保有している暗号資産があれば、新たに生成したシードフレーズによる新しいウォレットへ移動させることです。
翻訳元: https://meterpreter.org/clickfix-etherhiding-macos-backdoor/
