マイクロソフト、30以上のドメインをMacSync Stealerに関連付けと発表

MacSync Stealerはウェブインフラを次々とローテーションさせていますが、マイクロソフトによれば、その挙動自体はそれほど簡単には隠しきれないといいます。

マイクロソフトのDefender Expertsチームは、ドメイン名だけに頼るのではなく、繰り返し現れるエンドポイントおよびネットワークの挙動を追跡することで、macOS向けの情報窃取型マルウェア「MacSync Stealer」に関連する30以上のドメインを特定しました。

今回の調査では、ペイロードの配信やコマンド&コントロール（C2）通信から、認証情報の窃取、データのステージング、そして外部への持ち出しに至るまで、攻撃チェーン全体にわたる活動が確認されました。マイクロソフトによれば、あるドメインを同一のインフラクラスターの一部と判断するには、プロセスの親子関係、コマンドライン上の活動、リクエストパス、ヘッダー、アップロード時のパラメーターなど、複数のシグナルが一致することを条件としたとのことです。 

「今回の調査では、単なるビーコン通信にとどまらず、実際のデータ流出も確認されました」とマイクロソフトは述べています。

この調査結果は、RST Cloudによる先行研究を補強するものです。同社の研究では、より小規模なMacSyncのドメイン群が特定されており、情報公開後にインフラが変更される様子も観測されていました。研究者らは以前、確認済みの4つのコマンド&コントロールドメインに共通する静的なAPIキーを発見しており、繰り返し現れるURIパターンを手がかりに、さらに11個の候補ドメインを特定していました。

MacSyncの攻撃手法

マイクロソフトによると、観測された感染はいずれも、ClickFixと一致する形で開始される、対話式のzsh Terminalセッションから始まっていたといいます。ClickFixとは、ユーザーをだましてターミナルにコマンドを貼り付けさせるソーシャルエンジニアリング手法です。

このマルウェアは、繰り返し現れる/curl/というパスを通じてcurlでペイロードを取得したのち、Base64やgunzipといったツールを使ってデコード・展開を行います。その後、osascriptを利用してAppleScript経由でシェルコマンドを実行することもあります。

ここから、MacSyncは価値のある情報を探索します。対象には、macOSのキーチェーン情報、ブラウザの認証情報やCookie、SSHキー、AWSの認証情報、Kubernetesの構成ファイル、Apple Notesのデータ、そして一般的なユーザーディレクトリに保存された機密ファイルなどが含まれます。

窃取した情報は一時的な/tmp/sync*というパス配下に置かれ、アーカイブとして圧縮されたのち、複数のチャンクに分割されます。 

これらのチャンクは、upload_id、chunk_index、total_chunksといったパラメーターを伴い、curlを使ったHTTP PUTリクエストで送信されます。その後、マルウェアは一時アーカイブなどのステージング用ファイルを削除し、感染後の調査を困難にします。

ドメインよりも挙動が重要な理由

今回の調査から得られる最大の防御上の教訓は、MacSyncのインフラが従来型のブロックリストでは追いつけないほどの速さで変化しうるという点です。

ドメインは消滅したり別のものに置き換わったりしますが、マルウェア自体は依然として、コマンドの実行、ペイロードの取得、価値あるファイルへのアクセス、アーカイブの作成、そして窃取データのアップロードという一連の手順を踏む必要があります。これらの手順は、インフラが変わっても残り続ける「行動的な指紋」を生み出します。

防御側にとっては、対話式シェルから起動されるcurl、それに続くosascript、機密性の高い認証情報へのアクセス、そしてチャンク分割されたHTTP PUTアップロードといった一連の組み合わせに着目する方が、単一のホスト名を侵害の証拠として扱うよりもはるかに有用です。

ただし、ここにはトレードオフもあります。curl、osascript、シェルコマンドといったツールは、特に開発者用のMacでは多くの場合正規に使われているものだからです。したがって検知にあたっては、これらのユーティリティの通常利用にフラグを立てるのではなく、複数のイベントを相関的に見る必要があります。

組織が注視すべきポイント

マイクロソフトは、特にペイロードの取得や実行に続いてAppleScriptの活動、認証情報ストアへのアクセス、一時アーカイブの作成、そして外向きのHTTP PUT通信が観測される場合には、通常とは異なるTerminalおよびシェルの活動を監視するよう推奨しています。

アップルはmacOS 26.4以降で、Terminalへの貼り付け保護をはじめとする対策を追加し、ClickFix型の攻撃を阻止しようとしています。しかし、今回のマイクロソフトの調査結果は、初回感染後もエンドポイントおよびネットワークの可視性が組織にとって依然として不可欠であることを示しています。

侵害されたMacは、ローカルファイル以上に多くのものを危険にさらす可能性があります。窃取されたブラウザセッション、SSHキー、クラウドの認証情報、Kubernetesの構成情報などは、攻撃者に元のデバイスをはるかに超えるアクセス権を与えかねません。だからこそ、ローテーションするドメインを一つひとつ追いかけるよりも、行動ベースの検知の方が有効だといえます。

その他のニュース: PhilipsとGEが侵害の可能性を調査中。ランサムウェアグループClopが、数十の組織を巻き込んだ大規模なキャンペーンの一環として両社のデータを窃取したと主張したことを受けたものです。