ClickFix攻撃を通じてmacOSユーザーに配布されるGo言語ベースのマルウェアが、暗号資産、ブラウザに保存されたパスワード、Apple Keychainのデータ、キャッシュされた認証情報を窃取していることが分かりました。
このマルウェアは、さまざまな暗号資産の取引を横取りし、送金先を書き換えることができます。ウォレットの中身を丸ごと抜き取ることも可能ですが、取引全体の価値を計算した上で、攻撃者に転送する金額を調整することもできます。
マネージド検知対応(MDR)サービスを手がけるHuntressのセキュリティ研究者らが、ClickFixのインシデント対応の過程でこのペイロードを発見しました。
標的となったユーザーは、Terminalでコマンドを実行するよう指示するリンク付きのメールを受け取っていました。
このリンクからは、プロファイラー兼マルウェアローダーとして機能するBashスクリプトがダウンロードされます。このスクリプトはCPUやRAMなどのシステム情報を収集した上で、被害者のシステムのプロセッサアーキテクチャに合致するMach-Oペイロードを取得します。
プロファイラーはさらに、現在ログインしているユーザーのアカウント名を特定し、macOSで暗号証明書やコード署名の検証を担うプロセスであるtrustdにちなんだ名前のディレクトリを作成します。
そして、インフォスティーラー兼暗号資産窃取ペイロードをcom.apple.verifiedという名前でこのディレクトリにコピーし、com.apple.quarantine拡張属性を削除します。これにより、Gatekeeperがファイルを隔離対象として扱い、実行時にセキュリティ警告を表示するのを防ぎます。
Huntressの分析によると、このマルウェアはosascriptユーティリティを使って偽のエラーを作成し、システムの認証情報を収集することで永続化と権限昇格を実現しています。
スティーラーのペイロードは、ストレージ内を走査し、名前と拡張子の両方から認証情報を含むファイルを探し出します。
「ブラウザのパスワードデータベース、Apple Keychain、そしてブラウザのCookieにキャッシュされた認証情報のすべてが標的となっています」とHuntressは述べています。
さらに、このGo言語ベースのマルウェアには、署名前の暗号資産取引を書き換えるコードも含まれており、攻撃者へ転送する資金を全額ではなく一定割合に設定できるよう構成することも可能です。
Huntressによれば、被害者のウォレットを全額抜き取るのではなく、全体の一部だけを抜き取る形に設定できる暗号資産ドレイナーを分析したのは今回が初めてだといいます。
加えて研究者らは、暗号資産の種類に応じて、ウォレット残高の1%に相当する金額を算出する独立した関数も確認しています。
標的となる暗号資産には、Bitcoin、Litecoin、Dogecoin、Monero、Ethereum、Rippleのxrpなどが含まれます。
Huntressによると、このマルウェアはAutonomous System(AS)210644内の共有IPアドレスと通信しており、このASは「Aeza Groupという名で知られるロシアの企業が運営している」とのことです。
同社および関連する個人については、ランサムウェアグループにバレットプルーフホスティングサービスを提供していたとして、米国と英国により制裁措置が科されています。
攻撃者に先んじて、すべてのレイヤーをテストする
セキュリティチームが記録できている攻撃成功事例はわずか54%、アラートが出せているのはたった14%に過ぎません。残りは検知されないまま環境内を通過しています。
Picusのホワイトペーパーでは、breach and attack simulationがSIEMやEDRのルールをどのようにテストし、脅威の見逃しを防ぐかを解説しています。
