サイバー犯罪者らが、偽のClaudeインストールガイドを悪用してMacユーザーにMacSyncを感染させています。これは高度な情報窃取型マルウェアであり、リモートアクセス型トロイの木馬(RAT)でもあります。
この攻撃キャンペーンは、Googleのスポンサー付き検索結果と、正規のclaude.aiドメイン上で公開共有されているページを悪用しており、これによって誘導手口が信頼できるものに見せかけられています。
「MacにClaude Codeをインストールする方法」を検索していた被害者が、有料のGoogle広告をクリックしたところ、「Apple Support」を名乗るClaudeの共有会話ページに誘導されました。
このページは、Claudeをインストールするためとしてターミナルにコマンドを貼り付けるよう指示していました。しかし実際には、このコマンドはマルウェアをダウンロードして実行するものでした。
この悪意あるコマンドはcurlを使って難読化されたペイロードを取得し、それをZシェル(zsh)に直接パイプする仕組みになっていました。
このClickFix型の手口は、エクスプロイトではなくソーシャルエンジニアリングに依存するものです。被害者自身がターミナルで攻撃者のコマンドを手動実行してしまう点が特徴です。
第一段階のローダーは、Base64エンコードとgzip圧縮が施されたペイロードを含む小さなzshスクリプトでした。このスクリプトは被害者ごとに内容が変化するため、単純なファイルハッシュによる検知の効果は限定的です。
Huntressは、防御側に対し、Base64デコードとシェル実行を伴う不審なcurl活動といった行動的な兆候に注目するよう推奨しています。
次の段階では、攻撃者が管理するインフラからAppleScriptを取得し、osascriptを通じてメモリ上で実行します。
これにより、攻撃者は情報窃取マルウェアのロジックの大部分を被害者のディスク上に残さずに済み、さらに遠隔から内容を変更することも可能になります。その後マルウェアは、macOSの保護対象ユーザーデータへのアクセスを可能にする権限であるフルディスクアクセスの取得を試みます。
被害者が権限の許可プロンプトを承認すると、MacSyncはMacアカウントのパスワードを要求する偽のシステムダイアログを表示します。
入力されたパスワードはdscl認証ユーティリティを使って検証されるため、攻撃者は誤った入力ではなく、確実に有効な認証情報を取得できる仕組みになっています。
このマルウェアは収集したデータを/tmp/osalogging.zipとしてアーカイブ化し、攻撃者のインフラにアップロードした後、ローカルの痕跡を削除します。
また、LaunchAgentを利用してネイティブのMach-O型RATを永続化する形でインストールし、攻撃者にリモートシェルアクセス、コマンド実行、ファイル転送、データ窃取の各機能を与えます。
別途用意されたヘルパーアプリケーションは、画面録画権限の取得を試みます。この許可が下りると、RATはこのヘルパーを利用してスクリーンショットを取得し、既存のコマンド&コントロール(C2)チャネルを通じて生成されたファイルを送信できるようになります。
最終段階では、暗号資産ユーザーが標的となります。MacSyncは、数十種類のウォレット用ブラウザ拡張機能やデスクトップ版ウォレットアプリケーションの有無を確認します。
ハードウェアウォレットの連携アプリを含む、信頼されたウォレットアプリケーションをトロイの木馬化したバージョンに置き換え、偽の復元フローを表示することも可能です。これらのプロンプトは、暗号資産のシードフレーズを盗み出すことを狙ったものだと、Huntressは述べています。
パスワードとは異なり、盗まれたウォレットの復元フレーズは単純にリセットすることができません。このフレーズを保持している者は誰でも、元のハードウェアデバイスがなくても、そのシードから派生したウォレットを支配下に置くことができます。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化する
翻訳元: https://cyberpress.org/fake-claude-guide-malware/
