- Huntressが、偽のカンファレンス招待を通じてセキュリティ専門家を狙うClickFixキャンペーンを発見
- 被害者はコードの貼り付けを誘導され、macOSにAMOSインフォスティーラーがインストールされる
- 誘導された場合は、システムの隔離、認証情報のリセット、シークレットのローテーション、暗号資産ウォレットの確認を
サイバー犯罪者が、非常に巧妙に仕立てられたClickFixキャンペーンでセキュリティ専門家を標的にし、インフォスティーラー型マルウェアへの感染を狙っていることが専門家によって明らかになりました。
Black HatやDEF CONなど、様々なサイバーセキュリティカンファレンスに参加した、あるいは参加歴のある人々を対象とした攻撃キャンペーンが活動していることを、セキュリティ研究者のHuntressが検知しました。同社自身もこの標的となっていました。
この攻撃はX(旧Twitter)から始まります。攻撃者は偽アカウントを使い、これらのカンファレンスを訪れたりコンテンツをシェアしたりしている人々に接触します。信頼関係を築いた後、DM(ダイレクトメッセージ)へと誘導し、自ら独自のカンファレンスを主催していると偽って、被害者に「詳細情報」を含むGoogleドキュメントのファイルを共有します。
後続の攻撃
ここで攻撃者はClickFix攻撃を仕掛けてきます。このドキュメントには縦型のサイドバーが表示され、一見するとファイルの内容を暗号化しているセキュリティ機能のように見えます。被害者は復号コードの入力を求められますが、実際にはエラーが返され、解決策として「ターミナルを起動し、コードをコピー&ペーストする」よう指示されます。
ここから先は、典型的なClickFixの手口です。被害者は最終的に、悪名高いMac向けインフォスティーラー「AMOS」をダウンロード・実行してしまいます。AMOSはブラウザ情報、Cookie、キーチェーンデータ、暗号資産ウォレット情報、Telegramのファイルなどを窃取する能力を持っています。Huntressが解析を試みたところ、Windows版は動作しませんでしたが、最終的な狙いは同じであると考えて差し支えないでしょう。
さらにHuntressは、攻撃がここで終わらないことも突き止めました。被害者がインフォスティーラーをインストールしなかった場合、攻撃者は別のドキュメントを使って再度アプローチしてきます。今度はDropboxを装ったもので、デスクトップアプリでしか機能しないという体裁です。もちろん、そのダウンロードボタンは結局のところインフォスティーラーへと直結しています。
研究者らは、侵害指標(IoC)の完全なリストを公開しており、このリンクから確認できます。また、こうした手口に接触してしまった人には、システムをネットワークから隔離し、関連するフォレンジック証拠を収集した上で、「システムの再イメージ化を検討する」よう助言しています。
「システム上の認証情報はすでに侵害されたものと想定してください」と研究者らは述べています。「アクティブなセッションを無効化し、パスワードをリセットし、システム上に存在する可能性のあるAPIキーやその他のシークレットをローテーションしてください。暗号資産ウォレットが存在する場合は、それについても確認が必要です」
