macOSを標的とする情報窃取型マルウェア「MacSyncスタイラー」が、ペイロード配信、C2(コマンド&コントロール)、データ窃取に用いる30以上の切り替え型ドメインと関連付けられていることが分かりました。
RST Cloudが以前に行った調査では、これより少数の悪性ドメインが特定されており、公にC2インフラが暴露されると攻撃者が迅速に基盤を切り替えていたことも指摘されていました。
今回、Microsoft Defender Expertsは、ドメインの指標だけに頼るのではなく、繰り返し現れるエンドポイントおよびネットワークの挙動を追跡することで、この調査をさらに拡大しています。
このキャンペーンは、ClickFix型のソーシャルエンジニアリングによる誘導から始まるとされています。被害者はターミナルに悪意あるコマンドを貼り付けて実行するよう仕向けられ、対話型のzshシェルセッションが起動します。
このコマンドはcurlを使って攻撃者が管理するペイロードを取得し、Base64やgunzipといったネイティブのユーティリティでデコードまたは展開します。
MacSyncスタイラーはosascriptを通じてAppleScriptを利用し、シェルコマンドの起動やその後の活動を行います。またsh、cp、rm、mkdir、curl、killallといった一般的なmacOSツールを使用することで、通常のシステム動作に紛れ込みます。
起動後、このスタイラーはまずシステムおよびユーザーの情報を収集し、その後に価値の高いデータの探索を行います。
このマルウェアはSSHキー、AWSの認証情報、Kubernetesの設定ファイル、ブラウザのプロファイル、さらにデスクトップやドキュメント、ダウンロードといった一般的なフォルダに保存されている機密ファイルの窃取も試みます。
認証情報、暗号資産ウォレット、秘密鍵、VPN設定、リカバリーフレーズなどを含む可能性のあるファイル拡張子も検索対象となっています。
MacSyncスタイラーは、LedgerやTrezorのアプリケーションに関連する暗号資産ウォレットの痕跡も確認します。この挙動から、攻撃者が企業の認証情報だけでなく、感染端末上の個人の金融データも狙っていることがうかがえます。
収集されたファイルは/tmp/sync*に一致する一時ディレクトリにいったん保存された後、/tmp/osalogging.zipという名称のアーカイブに圧縮されるとみられています。
このアーカイブは転送前により小さなチャンクに分割され、これによりマルウェアはより大規模なデータ窃取を管理しやすくなるとともに、アップロード失敗のリスクを抑えられる可能性があります。
攻撃者はドメインを切り替えて運用していますが、そのネットワークリクエストには明確なパターンが残っています。
Microsoftは、/curl/、/dynamic?txd=、/gate?buildtxd=といった繰り返し現れるURIパス、macOS特有のUser-Agent文字列、APIキーのヘッダー、そして繰り返し使われるcurlのコマンドラインオプションを通じて、関連するインフラを結びつけました。
データの外部送信には、MacSyncスタイラーは--data-binaryを伴うHTTP PUTリクエストを使用します。
Microsoftによると、アップロードにはupload_id、chunk_index、total_chunksといったパラメータが含まれており、このインフラが単純なC2のビーコン通信ではなく、実際のデータ窃取活動をサポートしていることが確認されています。
これにより、防御側は静的なドメインのブロックだけに頼るよりも強力な検知の機会を得られます。
セキュリティチームは、curlによるダウンロードを伴う不審なターミナルやzshの活動、osascriptから起動されるシェルコマンド、認証情報ストアへのアクセス、一時パス内でのアーカイブ作成、そしてチャンク転送パラメータを含むHTTP PUTアップロードを監視すべきです。
また組織は、信頼できないウェブサイトやメッセージ、ファイル、あるいは電話の相手から得たコマンドをターミナルに貼り付けないよう、ユーザーへの教育も行うべきです。
対応システムでは、Appleの新しいmacOSの保護機能がユーザーに警告を発し、悪意あるおそれのあるターミナルへの貼り付けをブロックできるほか、XProtectが既知の悪意あるスクリプトの実行を防止できる場合もあります。
ANY.RUNのブラウザ内データ検査で、より迅速な検知・調査・対応を実現-> ANY.RUNでSOCを強化する
翻訳元: https://cyberpress.org/macsync-stealers-30-domain-theft/
