セキュリティ研究者が、ClickFixソーシャルエンジニアリング攻撃によって配布される新しい情報窃取型のmacOSマルウェアを発見しました。
マネージド検知・対応(MDR)専門企業のHuntressによると、同社が2026年6月にこのマルウェアを確認したとのことです。
「ClickFix攻撃では、コンピューターの利用者に対して、CAPTCHA認証のように見えるポップアップウィンドウが表示されます」と同社は指摘しています。
「このウィンドウは、対象者に長いコマンド文字列のテキストをコピーし、コンピューター上のターミナルアプリケーションに貼り付けるよう指示します。このコマンド文字列は通常、攻撃の初期段階をダウンロードして実行するものです」
ClickFixに関する詳細はこちら: ClickFix攻撃、2025年に517%急増
この攻撃では、コマンドがBash製のプロファイラー/ローダーを取得し、システム情報を収集した上で、被害者のプロセッサーアーキテクチャに合わせたMac向けのMach-Oペイロードを取得していました。
「Mach-OはmacOSで使われる実行ファイル形式で、今回のケースではこのGoベースの情報窃取ツールが、ブラウザーのパスワードストアやApple Keychainのデータ、感染したシステムにキャッシュされた認証情報を窃取するように作られていました」とブログ記事は続けています。
「このマルウェアには、暗号資産ウォレットに資金があるかどうかを確認できるDRAIN機能も含まれており、その残高の全部または一部を攻撃者が管理するウォレットへ送金させることが可能でした」
ローダー、ペイロードのホスティング、コマンド&コントロール(C2)は、いずれもサイバー犯罪に関与しているとして制裁対象となっているロシアのブレットプルーフホスティング業者Aeza Groupにつながっています。
Huntressは、ユーザー教育の徹底や、NoScriptのような悪意あるスクリプトを阻止するブラウザーアドオンの導入により、ClickFixの脅威を軽減するよう組織に助言しています。また、Pi-Hole DNSのようなネットワーク機器を使い、既知の悪質なドメインをDNSブロッキングで名前解決させないようにすることで、ポップアップが表示される可能性を減らせるとも付け加えています。
「万が一ユーザーが誤ってClickFixの手口に従ってしまった場合は、直ちにITチームへ報告し、当該端末を隔離状態にすることが極めて重要です」と結論付けています。
「このマルウェアが永続化を達成する場合としない場合がありますが、端末に残されたバイナリのコピーを削除するだけで容易に修復できます。削除してしまえば、マルウェアが自然に復活することはありません」
翻訳元: https://www.infosecurity-magazine.com/news/gobased-macos-malware-crypto-and/
