- Microsoftは、MacSync Stealerの進化するインフラに対してドメインブロックが効果的ではないと指摘
- Defenderの専門家は、挙動パターンの分析によって30以上のドメインを追跡
- 不審なシェルセッション、osascriptの活動、/tmp/syncアーカイブの検知に重点を置いた対策
Microsoftは、危険なインフォスティーラーマルウェア「MacSync Stealer」への対策として、攻撃で使用されたドメインを追跡するのではなく、特定の挙動を監視する手法を編み出したと発表しました。
MacSync Stealerは、Appleエコシステム向けに構築されたインフォスティーラー型マルウェアです。パスワード、ブラウザデータ、Cookie、Keychainのシークレット情報、暗号資産ウォレット、Telegramのセッション情報、SSH/クラウドの認証情報など、機密性の高い情報を窃取します。
このマルウェアは、ClickFix詐欺の手口で拡散されていました。被害者が悪質なウェブサイトを訪れると、「ブラウザが古い」あるいは「本人確認」をしないと閲覧できない「保護された」文書があるなどの問題があると表示され、即座にその解決策が提示されます。その解決策とは、ターミナルを開いてコマンドを貼り付けるというものですが、実際にはこの操作によってマルウェアが展開される仕組みでした。
当初、防御側はインフラで使用されているドメイン、すなわちウェブサイトやマルウェアの実行ファイル、窃取データの送信先をブロックすることでMacシステム群を守ろうとしていました。しかし、あるドメインをブロックしてもすぐに新たなドメインが立ち上がり、マルウェアの活動は止まることなく続いていることが間もなく判明しました。
挙動分析によるアプローチ
Microsoftは今回新たに公開したレポートで、繰り返される実行パターン、リクエストの特徴、ステージング時の挙動、アップロード方法といった挙動パターンに着目することで、30以上のドメインを特定できたと明らかにしました。
「Microsoft Defender Expertsは、一連の活動全体にわたって繰り返し現れるエンドポイントとネットワーク挙動を関連付けることで、この視点をさらに広げました。この挙動主導型のアプローチにより、30以上のドメインがつながっていることが判明し、このインフラがC2通信にとどまらず、能動的な情報収集、ステージング、データ窃取にまで及んでいることが明らかになりました」とMicrosoftは説明しています。
つまり、MacSync Stealerへの対策として重要なのは、ドメインのブロックに注力することではありません。むしろ、特定のフラグの組み合わせで「curl」を起動するシェルセッションや、osascriptがネットワーク活動へと素早く連鎖する挙動、そして送信方向のPUT通信が始まる直前に/tmp/sync以下にアーカイブファイルが出現する挙動などに注意を払うべきだとしています。
