新たに確認されたmacOS向け情報窃取マルウェア「AmnesiaStealer」が、洗練されたClickFixキャンペーンを使ってユーザーを騙し、認証情報を盗んだ上でアクティブなChromiumブラウザセッションを密かに乗っ取るマルウェアをインストールさせていることが判明しました。
Jamf Threat Labsは、github.aoitour[.]comでホストされている偽のGitHubダウンロードポータルを調査した結果、この攻撃活動を突き止めました。このサイトはGitHubのダークテーマのインターフェース、Octocatのブランディング、「Verified Publisher」バッジを巧妙に模倣しており、訪問者に本物らしい印象を与えます。
この偽ページは通常のアプリケーションダウンロードを提供する代わりに、ワンクリックコピーボタン付きの「ターミナルインストール」セクションを表示します。被害者に対してターミナルを開き、表示されたコマンドを貼り付けてReturnキーを押し、macOSのパスワードを入力するよう指示する仕組みです。
ClickFixと呼ばれるこの手法は、最終的な実行ステップをユーザー自身に委ねることで、多くの従来型の警告を回避します。これは被害者自らが悪意あるコマンドを手動で実行するためです。
ClickFixはmacOSを標的としたソーシャルエンジニアリングキャンペーンにおいてますます一般的になっています。脅威アクターはこれまでも同様の手口を用いて、Atomic Stealer(通称AMOS)やMacSyncといったマルウェアファミリーを配布してきました。
AmnesiaStealerは、攻撃者がおなじみのフィッシングテンプレートを再利用しつつ、バックエンドインフラ、マルウェアのペイロード、侵害後の目的だけを差し替えられることを示す好例です。
コマンドが実行されると、隠されたシェルスクリプトが起動し、パスワード保護されたZIPアーカイブをダウンロードします。このスクリプトは偽装されたバイナリを/tmpディレクトリに展開し、Appleの隔離属性を削除した上でペイロードを実行し、最初の感染経路を隠すための痕跡を消去します。
パスワード保護されたアーカイブを使用することで、展開前にダウンロードファイルを検査するセキュリティツールからの検知も回避しやすくなります。
主要なペイロードはRust製の情報窃取マルウェアで、感染したMacのプロファイリングと機密情報の収集を目的として設計されています。ネイティブアプリの「インストーラー」に見せかけたパスワード入力プロンプトを表示し、ユーザーのログイン認証情報を取得します。
このマルウェアはその後、取得したパスワードを使ってmacOSキーチェーン、Appleメモ、Telegramのセッションデータ、ブラウザプロファイル、ローカルに保存された文書へのアクセスを試みます。
Thijs Xhaflaire氏は、このマルウェアが攻撃者管理下のバックエンド「Amnesia Panel」と通信することから「AmnesiaStealer」と命名しました。組み込まれた設定情報はキー4mn3s1a_2o26!xKで復号され、さらなる動作の詳細が明らかになっています。
このバックエンド主導のアーキテクチャにより、運用者は侵害したデバイスの状況を評価した上で、追加でどの機能を展開するかを判断できます。このキャンペーンで最も懸念される特徴は、第3段階のコンポーネントであるstream_moduleです。
このモジュールは攻撃者のパネルから要求された場合にのみ配信され、被害者のブラウザプロファイルを複製し、そのクローンをヘッドレスモードで起動した上でChrome DevTools Protocolを介して接続します。これにより攻撃者はリアルタイムの画面キャストを得られるほか、マウス、キーボード、ナビゲーションの操作も可能になります。
複製されたブラウザはヘッドレスで動作するため、被害者は自分のアカウントセッション内で行われている悪意ある活動に気づかない可能性があります。
AmnesiaStealerがプライバシー保護機構の回避を試みる手法の一部は、古い技術に依存しています。その中にはAPFSスナップショットの回避も含まれており、これはAppleが数年前に修正済みのものです。これらの手法は最新版のmacOSではほぼ失敗し、マルウェア自体のデバッグログにもその失敗の記録が残されているとみられます。
Jamf Threat Labsは、認証情報の窃取とブラウザセッションの乗っ取り機能については、依然として重大な脅威となり得るほど効果的であると述べています。
最も有効な防御策は、ダウンロードページや広告、ポップアップ、身に覚えのない指示など、出所が確認できないコマンドを絶対にターミナルへ貼り付けないことです。
組織はmacOSを常に最新の状態に保ち、エンドポイント保護を導入し、不審なブラウザ自動化アクティビティを監視するとともに、想定外のインストーラー用パスワードプロンプトを認証情報フィッシングの兆候として扱うようユーザーを教育すべきです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視性を獲得し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/amnesiastealer-macos-malware-uses-clickfix/
