AmnesiaStealerは、偽のGitHubページからTerminalコマンドを貼り付けさせるようユーザーを騙し、その後認証情報やCookie、文書を窃取する
Macユーザーに対し、Terminalを開いてソフトウェアをインストールするよう求める不審なウェブサイトについて、新たな注意喚起がなされています。Jamf Threat Labsは、AmnesiaStealerと名付けられた多段階型のmacOS情報窃取マルウェアを発見しました。このマルウェアは、ClickFix方式の偽GitHubダウンロードページを使い、被害者にマルウェアをインストールするコマンドを実行させます。
このキャンペーンは、認証情報や機密データを窃取したうえで、被害者のChromiumブラウザに対する静かで対話的な制御へとエスカレートするよう設計されている、とJamfの研究者らはブログ投稿で述べています。
この攻撃では、GitHubのダークテーマやOctocatブランディング、「Verified Publisher」バッジを模倣していることが確認されました。誘導文で約束されたアプリケーションを提供する代わりに、このページはユーザーにTerminalを開いてコマンドを貼り付け、Macのパスワードを入力するよう指示します。
Jamfによると、同じ偽ダウンロードテンプレートは、Atomic（AMOS）やMacSyncなど、他のmacOS情報窃取マルウェアの配布にも使われてきました。
しかしRustベースのAmnesiaは、攻撃者に秘密裏のブラウザ制御を提供する専用モジュールを追加しています。「正常に機能する収集機能と、正常に機能するブラウザ乗っ取り段階の組み合わせ」により、この脅威は注視する価値があると研究者らは指摘しています。
すべては偽のGitHubダウンロードから始まる
ソーシャルエンジニアリングの要素は、偽サイト内の「Download for macOS」というワークフローに組み込まれており、約束されたアプリケーションの代わりにTerminalコマンドを実行させるよう仕向けます。このコマンドは攻撃者のインフラからシェルスクリプトを取得し、それがさらにマルウェア本体を含むパスワード保護されたZIPファイルをダウンロードします。
Jamfによれば、このローダーはペイロードを検知されにくくするためにいくつかの手順を踏んでいます。バイナリを「/tmp」に展開し、Apple製ファイルに見せかけた隠しファイル名を付与し、macOSの隔離属性を削除したうえでアドホックなコード署名を適用し、静かに起動してから実行ファイルを削除します。
ZIPファイルをパスワード保護しているのは、自動検査を困難にする狙いがあると研究者らは指摘しています。
最終的に展開されるRustベースのユニバーサルMach-Oは、IntelとApple silicon両方のMacに対応するようビルドされていることが解析で判明しました。Jamfによると、このマルウェアは本物らしく見えるプロンプトを通じてmacOSのログインパスワードを収集できるほか、Keychain、ブラウザデータ、Apple Notes、Telegramのセッション情報、各種ファイルも標的にします。
さらにこのマルウェアには、古いmacOSのセキュリティ回避策を試みるロジックも含まれていますが、Jamfが観測した限りではその多くが失敗に終わっています。これはAppleが該当する脆弱性をすでに修正済みであるためです。
ブラウザが第二の標的に
AmnesiaStealerの特異な点は、その第3段階に現れます。コマンド&コントロール（C2）インフラから指示を受けると、このマルウェアは別のRustベースの「stream_module」をダウンロードし、複製したブラウザプロファイルを起動して攻撃者とのWebSocket接続を確立します。
このモジュールは、被害者のブラウザを遠隔操作可能なセッションに変えてしまいます。このモードでサポートされるコマンドには、タブの開閉、ページ遷移、スクロール、キーボードおよびマウス操作、Cookieのエクスポートなどが含まれます。
ブラウザのCookieは、DevTools Protocolsを通じて平文でエクスポートされる可能性があります。
Jamfは、すでに認証済みのブラウザセッションを盗み出すことで、攻撃者が被害者の既存のアクセス権をそのまま利用できるようになると指摘しています。つまり、侵害されたMacは、認証情報や文書を流出させるだけでなく、遠隔操作されるブラウザの末端そのものと化してしまうのです。
研究者らは、組織に対し、このキャンペーンに関連する痕跡情報（IOC）をブロックし、AmnesiaStealerの挙動に一致する不審な活動を監視するよう推奨しています。ブログ投稿には、マルウェアのインフラ、ファイル、ハッシュ値に関するIOCが掲載されており、ペイロードの配信に使われたドメインも含まれています。
企業のユーザーに対し、ClickFix方式の攻撃、特にTerminalへのコマンド貼り付けを指示する偽サイトについて教育を行うこと、そしてmacOSエンドポイントを最新の状態に保つことも推奨されています。
