新型マルウェア「AmnesiaStealer」、ClickFix攻撃でmacOSユーザーを標的に

新たに確認されたmacOS向け情報窃取マルウェア「AmnesiaStealer」が、GitHubのダウンロードページを偽装したClickFixソーシャルエンジニアリングキャンペーンを通じてユーザーを標的にしています。

このマルウェアはパスワードの窃取、ブラウザデータの収集、永続化、さらには認証済みChromiumブラウザセッションの隠密なリモート操作といった複数の悪意ある機能を組み合わせています。

研究者たちは、「Download for macOS」という表示と「Verified Publisher(検証済み発行者)」を装った欺瞞的なバッジを備えた、GitHubを模した偽サイトを使うキャンペーンを確認しました。

このサイトはアプリケーションを直接ダウンロードさせる代わりに、被害者にターミナルを開かせ、コマンドを貼り付けさせ、macOSのパスワードを入力させることで、いわゆる「インストール」を完了させるよう誘導します。

このClickFixの手法は実行の負担を被害者側に転嫁するもので、従来型の悪意あるインストーラーを使わずにマルウェアを展開できてしまいます。

Antivirus& Malware

AmnesiaStealer、macOSユーザーを標的に

コピーされたコマンドは、攻撃者が管理するインフラからシェルベースのStage 0ローダーを取得し、Bashに読み込ませます。

このスクリプトはパスワード保護されたZIPアーカイブを密かにダウンロードし、Rustで書かれたユニバーサルMach-Oペイロードを/tmpに展開したうえで、macOSの隔離属性を除去し、アドホックなコード署名を施し、nohupを使ってペイロードを実行し、最後にシェル履歴を消去します。

このアーカイブは「dulin」というパスワードで保護されており、自動解析ツールによる検査を妨げる狙いがあるとみられます。ローダーはまた、展開したバイナリに`/tmp/.com.apple.dt.<digits>`というパターンに従うApple風の隠しファイル名を与え、実行後にはそれを削除します。

Stage 1は、ログイン認証情報、macOSキーチェーンの情報、Apple Notes、Telegramのセッションデータ、各種文書、ブラウザデータベース、ウォレット関連の拡張機能データ、システムプロファイリング情報などを標的とする簡易版のRust製情報窃取ツールで構成されています。

このマルウェアはネイティブアプリを装った「Installer」パスワードダイアログを表示し、入力されたパスワードをローカルで検証したうえで、それをステージングファイルおよび`~/.pwd`に平文で保存します。

AmnesiaStealerの最も注目すべき機能の一つが、stream_moduleと呼ばれるStage 2コンポーネントです。このオンデマンドモジュールは、被害者のChromiumベースブラウザのプロファイルをリモートで操作できます。対応するブラウザにはChrome、Brave、Microsoft Edge、Arc、Opera、Vivaldi、Chromiumが含まれます。

このモジュールはユーザーが目にする実際のブラウザとやり取りする代わりに、選択したプロファイルデータを`~/.local/share/.stream/profiles/<browser>`に複製し、リモートデバッグを有効にしたヘッドレスインスタンスを起動します。その後、WebSocketとChrome DevTools Protocol(CDP)を使ってオペレーターのリレーサーバーと通信します。

オペレーターはページの操作、タブの開閉、キーボードやマウス入力のエミュレーション、ブラウザ画面のキャプチャ、Cookieのエクスポートなどを行うことができます。

管理された環境での分析中、CDPベースのCookieエクスポート機能により、稼働中のブラウザセッションから平文のCookie値を取得できることが確認されました。これにより攻撃者は、被害者のパスワードを改めて入手しなくても、すでに認証済みのアカウントを悪用できてしまいます。

このマルウェアはさらに、ブラウザの暗号化キーを復元できない場合、macOS上のChromium Safe Storageキーチェーンのエントリを操作しようと試みます。この挙動により既存のブラウザ暗号化データが上書きされ、被害者は保存済みブラウザデータを復元できなくなるおそれがあります。

Antivirus& Malware

JamFによると、AmnesiaStealerはApple製のクラッシュレポート機能を装ったルート権限のLaunchDaemonを通じて永続化を図ります。確認された命名パターンは`/Library/LaunchDaemons/`配下に置かれる`com.apple.ReportCrash.agent_<digits>.plist`です。

セキュリティチームは、偽のソフトウェアインストール手順に由来するターミナル起動の`curl`や`bash`の実行、とりわけスクリプトが`xattr`を使って隔離属性を除去したり、アドホックなコード署名を用いたり、`/tmp`内に隠し実行ファイルを作成したりする挙動がないか調査すべきです。

加えて、Chrome Safe Storageエントリへの不審な変更、キーチェーンファイルへのアクセス、想定外のヘッドレスブラウザインスタンスの監視も、この悪意ある活動の特定に役立ちます。

IoC(侵害指標)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化(例: [.])しています。再有効化はMISP、VirusTotal、SIEMなど、管理された脅威インテリジェンス基盤上でのみ行ってください。

新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCからのリアルタイムインテリジェンスを統合

Antivirus& Malware