Microsoft、MacSync Stealerの認証情報窃取・データ流出インフラに関連する30以上のドメインを特定

MacSync Stealerに関連する30以上のドメインが確認され、macOSを標的としたローテーション式インフラの実態が明らかになりました。このインフラはペイロード配信、コマンド&コントロール(C2)、認証情報窃取、ステージング、そして分割形式でのデータ流出を支えています。

Dictionaries& Encyclopedias

今回の調査は、防御側が静的なドメインベースの検知よりも、繰り返し観測されるエンドポイントおよびネットワークの挙動を優先すべき理由を示しています。

観測された実行は対話型のzshセッションから始まり、curlを使って攻撃者インフラからペイロードを取得します。その際、繰り返し使われる/curl/というURIパスが用いられることが多いようです。

取得したコンテンツはbase64やgunzipといったネイティブユーティリティでデコードされたのち、通常のmacOSコマンドライン操作に紛れ込むよう設計されたスクリプトによって実行されます。

その後マルウェアはAppleScriptのコンテンツを取得し、標準入力経由で与えられたスクリプトを実行できるmacOSネイティブユーティリティosascriptを通じてこれを実行します。

この手法により、攻撃者はディスクに書き込む悪意あるコードの量を最小限に抑えながら、収集ロジックを動的に配信できます。

Microsoftの相関分析は、ドメインが入れ替わっても残存する特徴に焦点を当てました。具体的には、プロセスの親子関係、curlのコマンドラインオプション、URI構造、macOSを模したUser-Agent値、APIキーのヘッダー、そしてHTTPアップロードのパラメータです。

関連ドメインでは、C2チェックインに/dynamic?txd=、アップロードに/gate?buildtxd=が繰り返し使われており、ペイロード取得は概ね/curl/パス経由で行われていました。

この手法により、ホスト名の使い回しではなく、動作面の特徴に基づいてインフラを関連付けることが可能になりました。

このキャンペーンの収集段階では、即座に認証情報や金銭的価値を持つデータが狙われます。

MacSync Stealerは、キーチェーンの情報、ブラウザの認証情報とクッキー、Safe Storageキー、ログインデータベース、セッションデータ、SSHキー、AWS認証情報、Kubernetes設定、暗号資産ウォレットの関連情報、Apple Notes、そして一般的なユーザーディレクトリに保存された機密ファイルの窃取に関与しているとされています。

RST Cloudは以前、このマルウェアファミリーが収集したデータを/tmp/osalogging.zipにステージングする挙動を文書化しており、これはMacSyncの活動全般を通じてフォレンジック調査の重要な手がかりとなっています。

データ流出は、今回新たに判明したインフラ全体像の中でも重要な要素です。MacSyncは単なるビーコニング型フレームワークとして機能するだけでなく、窃取したデータを一時的なパスにステージングし、圧縮したうえで分割し、curlを使ってHTTPのPUTリクエストと--data-binaryオプションで送信します。

リクエストにはupload_id、chunk_index、total_chunksといったパラメータが含まれており、ネットワーク防御側にとって信頼性の高い検知の手がかりとなります。

Microsoftの研究者らによると、MacSync Stealerの活動はClickFix型のソーシャルエンジニアリングから始まり、被害者は攻撃者が用意したコマンドをターミナルに貼り付けるよう仕向けられるといいます。

Microsoftが30以上のドメインを特定

このパターンは、以前のMacSync亜種からの進化も示しています。RST Cloudの報告によれば、現行世代はステージングしたアーカイブを10MiB単位のチャンクでアップロードし、転送成功後にアーカイブを削除することで、ディスク上に残る痕跡を減らしているとのことです。

同じ調査では、静的なAPIキーの値が確認済みのC2ドメイン間で維持され続けている一方、ビルドごとのトークンはローテーションしていることも判明しました。これは、アプリケーション層の識別子がドメインの入れ替わりよりも長く残存し得ることを示す例です。

防御側にとって最も効果的な調査手法は、ネットワークとエンドポイントの証拠を組み合わせることです。セキュリティチームは、-k、-s、--max-time、--data-binaryといったオプション付きでcurlを起動するターミナルやzshのセッションを調査すべきです。特に、その後にbase64、gunzip、osascript、アーカイブ作成、あるいはクリーンアップ処理が続く場合は要注意です。

Securityconsulting services

また、/tmp/sync*のステージング場所、/tmp/osalogging.zip、そして分割アップロードのパラメータを含む外向きのHTTP PUTトラフィックについてもアラートの対象とすべきです。

認証情報保護の監視も同様に重要です。不審なシェル操作、キーチェーンやブラウザの保存領域へのアクセス、アーカイブ生成、外向きアップロードという一連の流れは、単独のドメイン一致よりもはるかに決定的な証拠となります。

プロキシログは慎重に確認する必要があります。というのも、これまでのMacSyncのローダーロジックは、窃取したmacOSのパスワードを/dynamicのクエリパラメータに含めて送信しており、フルURIをログに記録するシステムでは認証情報が露出する恐れがあるためです。

Appleのネイティブな防御機能は依然として有用な対策層です。Gatekeeper、公証(notarization)、XProtectは既知のマルウェアをブロックし、検知した感染を修復できます。またXProtectは、OS本体のアップグレードとは独立してシグネチャの自動更新を受け取ります。

しかし、MacSyncがユーザー自身によるターミナルコマンドの実行に依存している以上、企業はプラットフォームの保護機能に加えて、ClickFixに対する意識づけ、シェルのテレメトリ、行動検知、そして通信の出口監視を組み合わせる必要があります。

ここから得られる教訓は明確です。MacSyncのドメインは容易に入れ替え可能ですが、その実行チェーン、リクエスト構造、一時ステージング、そして分割データ流出は、検知とインシデント対応にとって依然として持続的な手がかりであり続けるということです。

侵害指標(IOC) 

注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的にディフェンス表記(例: [.])にしています。再変換(re-fang)は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

[ライブウェビナー] Elastic&UnderDefenseと共に、小規模なセキュリティチームがAIの可視性とエージェント型対応を1つの運用モデルに統合する方法を学びましょう。→ 今すぐ登録

Securityconsulting services