MacSyncスティーラーは、macOSを標的とする情報窃取型マルウェアで、めまぐるしく変化するコマンド&コントロール(C2)ドメインを使ってペイロードを配信し、感染デバイスと通信してデータを窃取します。
しかし、Microsoft Defenderのエキスパートチームによる調査で、このマルウェアはドメインが変わった後でも、いくつかのネットワークおよび実行パターンを一定に保っていることが判明しました。これにより、防御側は確実な検知手段を得られます。
これに先立つRST Cloudの調査では、少数のドメイン群を通じてこのマルウェアが特定されており、公開後には迅速にC2が置き換えられる様子も観測されていました。
その後Microsoftは、エンドポイントとネットワークのテレメトリを30以上の関連ドメインにわたって相関分析し、調査範囲を拡大しました。
今回の調査により、MacSyncスティーラーのインフラがC2通信だけでなく、ペイロード配信、データのステージング、そして能動的なデータ窃取までも支えていることが明らかになりました。
この攻撃キャンペーンは、多くの場合ClickFix型のソーシャルエンジニアリングから始まります。被害者はmacOSのターミナルに悪意あるコマンドを貼り付けるよう誘導されます。
その後、インタラクティブなzshシェルがcurlを起動し、攻撃者が制御するコンテンツをダウンロードします。この際、繰り返し使われる/curl/というURIパスが用いられることが多くなっています。ダウンロードされたペイロードは、実行前にBase64およびgunzipでデコードされる場合があります。
MacSyncスティーラーはまた、osascriptを使ってAppleScript経由のシェルコマンドを実行します。観測されたコマンドにはsh、curl、cp、rm、mkdir、killallが含まれます。
こうしたmacOS純正ツールの組み合わせにより、マルウェアは通常のシステム動作に紛れ込みながら、窃取データの収集と準備を進めます。
C2ドメインは頻繁にローテーションしますが、MacSyncスティーラーは一貫して識別可能なリクエスト構造を使用しています。アナリストは/curl/、/dynamic?txd=、/gate?buildtxd=といったURIパスの繰り返し使用を確認しました。
リクエストにはmacOSのUser-Agent文字列、APIキーヘッダー、そして-k、-s、--max-time、--data-binaryといったcurlオプションも使用されていました。こうした繰り返し現れる特徴は、静的なドメイン指標よりも検知に有用です。
防御側は、これらのURIパス、ヘッダー、コマンドラインオプションを使いながら不審なドメインへ接続するcurlプロセスを探索(ハンティング)することができます。
RST Cloudはまた、確認された4つのC2ドメインすべてで使い回されている静的なAPIキー値を特定しました。一方でビルドトークンはデプロイのたびに変化していました。実行権限を獲得した後、このマルウェアはmacOS上の価値の高いデータを収集します。
さらに、LedgerやTrezorに関連する暗号資産ウォレットの痕跡も確認します。MacSyncスティーラーは、収集したデータを一時ディレクトリ内にステージングしますが、そのパスには/tmp/sync*と一致するものが含まれます。
窃取した情報は、報告によれば/tmp/osalogging.zipという名前のアーカイブに圧縮され、転送のために小さなチャンクに分割されるとMicrosoftは述べています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内のみで行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/macsync-stealer-evades-detection/
