Huntressの研究者らは、被害者の暗号資産ウォレットから徐々に資金を吸い上げるmacOS向けマルウェアの一種を発見しました。この発見は、ClickFixと呼ばれる偽CAPTCHA詐欺まで感染経路をたどる過程でもたらされたものです。
この事案が明らかになったのは、2026年6月に実施された過去事案の脅威ハンティング調査の最中でした。Huntressのアナリストが、実際には3か月前に侵害を受けていたシステム上に、Mac専用の情報窃取マルウェアの痕跡を発見したのです。被害者は通常のCAPTCHA認証を装ったポップアップを表示され、コマンドをコピーしてMacのターミナルアプリケーションに貼り付けるよう指示されていました。このソーシャルエンジニアリング手法は、近年利用が急増しているとセキュリティベンダーは指摘しています。
コマンドが実行されると、端末情報を収集するBashローダーが密かにダウンロードされ、続いてデバイスのプロセッサアーキテクチャに合わせて調整されたGo言語製のMach-Oペイロードが取得される仕組みになっていました。このマルウェアは、Apple Keychain、ブラウザのパスワード保存領域、キャッシュされたブラウザCookieから認証情報を窃取するよう作られていました。検出を回避するため、正規のAppleシステムプロセスを装ったフォルダに自身を書き込み、通常であればGatekeeperのセキュリティ警告を発動させる隔離フラグをファイルから取り除いていました。
Huntressによると、このマルウェアの際立った特徴はDRAINと呼ばれる機能です。検出された暗号資産ウォレットに残高があるかを確認し、残高があれば一定の割合、あるいは全額を攻撃者が管理するウォレットへ送金します。コードにはBitcoin、Litecoin、Dogecoin、Ethereum、XRPに対応した専用ルーチンが組み込まれており、ウォレット残高の一定割合がいくらに相当するかを算出する変数も備えていました。これにより、攻撃者は一目でわかる形で一括して資金を抜き取るのではなく、少しずつウォレットの残高を減らしていくことが可能になります。Huntressは、管理された一部の資金のみを抜き取るよう作られたウォレット窃取マルウェアを確認したのは今回が初めてだと述べています。
調査担当者はさらに、攻撃者がosascriptで生成したダイアログボックスを使い、被害者にシステムパスワードを再入力させることで、不審に思わせることなくマルウェアに昇格権限を与えていたことも突き止めました。
インフラの分析により、ローダー、ペイロードのホスティング、コマンド&コントロールサーバーは、ロシアのブレットプルーフホスティング事業者であるAeza Groupが運営するIPアドレス範囲に関連付けられました。Aeza Groupは2025年7月に米財務省の外国資産管理局(OFAC)から制裁を受けており、2025年11月にはランサムウェアのインフラ提供事業者に対するさらなる制裁措置に英国とオーストラリアも加わっています。
Huntressは、ClickFix型のプロンプトを危険信号として扱い、身元不明のコマンドを絶対にターミナルウィンドウへ貼り付けないよう従業員を教育することを組織に強く推奨しています。また、追加の防御策として、悪意あるスクリプトを緩和するブラウザ拡張機能や、既知の悪性ドメインをDNSレベルでブロックする対策を推奨するとともに、ClickFixのコマンドが実行された端末については直ちに隔離するよう求めています。
同社は、ファイルハッシュや関連するIPアドレスを含む侵害の痕跡(IoC)情報を、GitHubの脅威インテリジェンスリポジトリで公開しています。
詳細はこちらでご覧いただけます: https://www.huntress.com/blog/mac-crypto-draining-malware
