Rust製の多段階型macOS情報窃取マルウェアが、GitHubの偽ダウンロードページを通じて拡散していることが、Jamfの報告で明らかになりました。これは最近のClickFix攻撃の一環として確認されたものです。
この偽のダウンロードページは、被害者をだましてTerminal(ターミナル)にコマンドを貼り付けさせる仕組みになっており、これが実行されると新たに発見されたAmnesiaStealerがインストールされます。
この攻撃は3段階の感染チェーンで構成されています。まずシェルスクリプトが実行されてペイロードを取得・実行し、次に情報窃取マルウェア本体がデータを収集し、そして第3のモジュールがコマンドを受けて実行され、被害者のブラウザを対話的に操作できるようにします。
Jamfは次のように述べています。「その目的はAtomic(AMOS)、MacSync、CrashStealerといったマルウェアファミリーと重なる部分があります。しかし3つの特徴でこれらとは一線を画しています。ビルダー主導の設定機能、パッチ済みのmacOSバイパスを狙うOSバージョン別の分岐ロジック、そしてリモート制御を可能にする第2ステージです」
実行されると、このマルウェアはまず端末情報の偵察を行い、ユーザーにログインパスワードの入力を促してローカルで検証します。その後、ログインキーチェーンとデータ保護キーチェーンをコピーし、Chromiumベースのブラウザのデータベース、Apple Notes(メモ)、各種文書ファイルを収集します。
AmnesiaStealerはまた、Safariのクッキーとフルディスクアクセス権限を得るために、TCC(Transparency, Consent, and Control)フレームワークのバイパスを2種類試みます。そして収集したデータをアーカイブ化してC&C(コマンド&コントロール)サーバーへ送信し、永続化のためにLaunchDaemonをインストールします。
remote_streamコマンドを受信すると、このマルウェアはstreamモジュールをダウンロード・実行します。このモジュールは被害者のブラウザプロファイルを複製し、ヘッドレスモードで起動することで、攻撃者にブラウザセッションへの完全な制御権を与えます。
この情報窃取マルウェアは、Chrome、Brave、Arc、Edgeを含む6種類のChromiumベースのブラウザを標的としており、ログインキーチェーン内の各ブラウザ専用のSafe Storageキーを攻撃者が制御する値で上書きする挙動が確認されています。これにより、それまで保存されていたパスワードやクッキーは復元不能になります。
Jamfは次のように指摘しています。「このマルウェアはデータの喪失を織り込み済みで動作します。macOS 26では既存のキーを復元できないため、被害者が保存したデータを攻撃者側が把握しているキーに置き換えます。こうすることで、それ以降に暗号化されるデータはすべて攻撃者側で復号可能になるのです」
Safariのクッキーを窃取しTCCデータベースへアクセスするために、このマルウェアは古いTCCバイパス(CVE-2020-9771)を利用します。macOS 26上では、Terminalまたはこのマルウェアのプロセスがすでにフルディスクアクセス権限を持っている場合に限り、この攻撃は成立します。
オンデマンドで実行される最後のstreamモジュールは、対話型のリモート制御コンポーネントです。Chrome DevTools Protocol(CDP)を利用してブラウザのヘッドレスコピーを起動し、攻撃者が被害者のブラウザセッションを操作できる中継チャネルを構築します。
Jamfは次のように述べています。「オペレーターはおよそ3fpsでセッションのライブ映像を受信し、キーボード、マウス、スクロール、ナビゲーション、タブ管理といった一連の入力操作でブラウザを自在に操れます。これらの操作はリアルタイムでCDPコールに変換され、ヘッドレスブラウザに対して実行されます。これは自動化されたデータ吸い出しではなく、人間が実際にキーボードを操作する形の隠密ブラウザセッションなのです」
翻訳元: https://www.securityweek.com/amnesiastealer-macos-malware-steals-data-controls-browser-sessions/
