新種のmacOSインフォスティーラー「AmnesiaStealer」がClickFix経由で拡散

新たなmacOS向けインフォスティーラーが、ClickFixを用いたソーシャルエンジニアリング攻撃によって拡散していると、Jamfの研究者らが警告しています。

「AmnesiaStealer」と名付けられたこのRust製インフォスティーラーは、被害端末への感染後に複数の段階と目的を持って動作し、認証情報やブラウザデータ、稼働中のセッションを窃取します。

その目的自体はAtomic(AMOS)やMacSync、CrashStealerといった他のmacOS向けインフォスティーラーと重なるものの、研究者らはAmnesiaStealerがmacOS特有の機能を備えており、新種の脅威と言える点を指摘しています。

AmnesiaStealerには、OSバージョンごとに分岐するロジックが組み込まれており、Appleによってすでにパッチが適用されたmacOSの回避手法にアクセスします。

さらに、遠隔操作可能な第2段階の機能を備えており、攻撃者は被害者のブラウザを隠密かつ対話的に操作できます。

AmnesiaStealerは活動中のステルス性維持に特に長けており、検知が困難になっています。

AmnesiaStealerキャンペーンの手口

Jamfのレポートは8月13日に公開され、攻撃者がAmnesiaStealerをMacユーザーに拡散する際にClickFixを利用している実態を明らかにしました。

ClickFix型攻撃では、ユーザー自身にコマンドを入力させることで、その行為を正規のものと判断してしまう多くのアンチウイルスやサイバー防御ツールを回避します。典型的には、偽のエラーメッセージや確認メッセージを使い、被害者を騙して悪意のあるスクリプトをコピー&ペーストさせ、実行させる手口です。

この手口は、IT部門に相談するのではなく自分で問題を解決しようとするユーザーの心理につけ込むものです。そのため、被害者自身が感染を招く形になるため、セキュリティ対策を回避する効果が高くなっています。

各種調査によれば、ClickFixは2026年においてマルウェア配布の主要な手段の一つとなっています。

AmnesiaStealerのClickFix誘導手口では、偽のGitHubダウンロードページが使われ、上級者向けの利便性を装った「Terminalインストール」ボックスが表示されます。そこにはTerminalを開いてインストールするための手順が番号付きで示されています。

研究者らは、この誘導用テンプレートが複数のmacOS向けインフォスティーラーファミリー間で共有されていると指摘しています。

ユーザーが「コピー」ボタンをクリックすると、base64形式のデータが生成され、これをデコードすると単一のコマンドになります。このコマンドは、短く、静かに、そして自己削除するスクリプトを取得します。

このスクリプトがAmnesiaStealerのバイナリを実行し、悪意のある活動を開始して、最終的に幅広いデータの窃取に至ります。

まず、端末のサウンドシステムを「ミュート」にすることで、データ窃取活動を隠蔽します。これは、データ収集の一部がFinder経由で行われ、ファイルを複製するたびに音が鳴る仕組みになっているためです。

また、ソフトウェア、ハードウェア、ディスプレイに関するデータ種別全般にわたって偵察活動も行います。

AmnesiaStealerはまず、Apple NotesとTelegramからデータを収集します。この際、macOSの権限確認(TCC)プロンプトが表示されないよう配慮したコマンドを書き込みます。

続いて、マルウェアは被害者にパスワードの入力を求め、入力されたパスワードはローカルで検証されます。この認証情報は、暗号化されたレコードを保持するデータ保護用キーチェーンファイルの解錠に使用されます。研究者らによれば、分析時点ではこれらのレコードがなぜ収集されるのかは明らかになっていないとのことです。

収集されたデータはあるディレクトリに一時保存され、アーカイブ化された後、外部へ持ち出されます。

キャンペーンの次の段階では、第2のバイナリが起動し、攻撃者が被害者のブラウザを遠隔操作できるようになります。このモジュールは、Chrome、Brave、Microsoft Edge、Arc、Opera、Vivaldi、Chromiumを含む7種類のChromium系ブラウザに対応しています。

この活動は起動前に被害者のプロファイルを複製するため、ユーザーからは見えないままです。操作対象は複製されたプロファイルであり、被害者本人が実際に目にするブラウザには影響が及びません。

この機能により、攻撃者はセッションのライブ映像をリアルタイムで受け取り、キーボード、マウス、スクロール、ナビゲーション、タブ管理といった一通りの入力操作でセッションを自在に操ることができます。

さらにこのモジュールは、DevToolsプロトコル経由でブラウザのCookieデータを平文のまま窃取できます。訪問先サイトから自動化ツールとして検知されないようにするスクリプトを注入することで、検知を回避します。

Jamfは、こうした類似の脅威の実行を防ぐため、macOSユーザーに対し、脅威防止機能や高度な脅威制御、Web保護を「ブロックして報告」に設定するよう推奨しています。