AmnesiaStealerは、Rustで書かれた多段階型のmacOS情報窃取マルウェアです。従来型の認証情報窃取にとどまらず、攻撃者が被害者の認証済みChromiumブラウザセッションを密かに操作できる点が特徴です。
このマルウェアは、偽のGitHubダウンロードページに誘導するClickFix型のソーシャルエンジニアリングキャンペーンを通じて拡散しています。
Anti-malwaresoftware
これらのサイトは正規のアプリケーションを配布する代わりに、訪問者にターミナルでコマンドをコピー&実行するよう指示します。
このコマンドはシェルベースの感染チェーンを起動し、マルウェアをダウンロード、展開、署名、実行した後、インストーラーの痕跡を削除してフォレンジック調査での発見を困難にします。
しかし最も重大な特徴は、ログイン済みのブラウザプロファイルを複製し、Chrome DevTools Protocol（CDP）経由で遠隔操作者に公開する専用のブラウザストリーミング機能です。
Jamfの分析によると、この攻撃キャンペーンはmacOS情報窃取マルウェアの手口における大きな進化を示しているといいます。
従来の情報窃取マルウェアは通常、ブラウザのデータベース、Cookie、保存済みパスワード、自動入力レコードをコピーし、後でオフラインで処理する形をとります。AmnesiaStealerはこの収集フェーズを、さらなる攻撃への足がかりとして利用します。
第1段階のペイロードは16種のChromium系ブラウザを標的とし、Cookie、ログインデータベース、履歴、ブックマーク、拡張機能データ、Local Stateファイル、ブラウザの設定情報の取得を試みます。
また、被害者のmacOSログインキーチェーンからブラウザのSafe Storageキーの取得も試み、保護されたブラウザ内データの復号を可能にする恐れがあります。
操作者からの指示があると、マルウェアは7種のChromiumベースブラウザに対応した第2段階のストリーミングモジュールをダウンロードします。
このモジュールは複製したプロファイルを作成し、非表示のヘッドレスブラウザインスタンスとして起動して、CDP経由での遠隔操作を可能にします。
これにより攻撃者は、被害者の既存セッションを使ってサイトを閲覧したり、タブを開いて管理したり、マウスやキーボード操作をシミュレートしたり、ブラウザの表示内容を観察したり、平文のCookieをエクスポートしたり、別のブラウザセッションにCookieをインポートしたりすることが可能になります。
JamfのリサーチャーによればAmnesiaStealerは、認証情報、ブラウザデータ、Apple Notes、Telegramのセッション情報、ドキュメント、ウォレット関連のブラウザデータ、macOSキーチェーンの内容を収集できるとしています。
攻撃者は被害者のデスクトップを目に見える形で乗っ取ったり、使用中のブラウザウィンドウを妨害したりする必要がありません。
この手口は、企業のSaaSプラットフォーム、メール、クラウドコンソール、暗号資産サービス、開発者ポータル、金融口座にログインしているユーザーにとって特に危険です。
ログイン中セッションの窃取
パスワードが盗まれればMFA（多要素認証）が作動する可能性がありますが、アクティブなブラウザセッションがあれば、そのセッションが無効化または期限切れになるまで、攻撃者はその障壁を回避できてしまいます。
AmnesiaStealerはまず侵害したホストのプロファイリングを行い、macOS標準のインストーラー風パスワード入力画面を表示します。
入力されたパスワードはローカルで検証され、ログインキーチェーンのロック解除に使われます。これにより、マルウェアは機密性の高い認証情報や暗号鍵素材にアクセスできるようになります。
Anti-malwaresoftware
収集された情報は、攻撃者が管理するインフラに送信される前に、まとめてアーカイブ化されます。その後マルウェアは、Appleのクラッシュレポート機能を装ったLaunchDaemonを通じて永続化を図ります。
その後、選択したファイルやインストール時の痕跡を削除し、インシデント対応担当者が調査できる証拠を減らします。
研究者らはまた、暗号化されたキャンペーン設定、ビルド識別子、設定可能なインフラ情報、macOSのバージョンを識別して実行経路を切り替える機能を含む、ビルダーによって生成された設定ファイルも確認しています。
この設計により、操作者はより大きな収集・ブラウザ悪用のワークフローを変えることなく、次々と異なる亜種を生成できます。
AmnesiaStealerは、Atomic StealerなどのmacOS向け脅威、MacSync、CrashStealerと大まかな目的を共有しています。また、AtomicやMacSyncのキャンペーンで以前確認されていた、偽のGitHubを使った誘導手法も踏襲しています。
しかし、専用のブラウザストリーミング機能は大きな転換点を示しています。もはやブラウザは単なる盗難データの保管場所ではなく、遠隔操作可能な侵入拠点そのものになっているのです。
ビルダー駆動型のマルウェアはハッシュ値、ファイル名、ホスティングインフラを急速に切り替えられるため、防御側は静的な指標よりも振る舞い検知を優先すべきです。
セキュリティチームは、ソフトウェアダウンロードページへのアクセス後に発生するターミナル操作、curlやシェルによる不審なダウンロードコマンドの使用、異常なログインキーチェーンへのアクセス、Appleの構成要素を装った新規LaunchDaemonエントリなどを調査すべきです。
非表示状態でのChromium実行、想定外のブラウザプロファイル複製、通常とは異なるプロセスからのChrome DevTools Protocol接続も、直ちに調査すべき対象です。
ユーザーは、ウェブサイト、SNS投稿、あるいはGitHubを装ったダウンロードページから提示されたターミナルコマンドを実行しないよう注意する必要があります。
組織はさらに、アプリケーション制御の徹底、永続化が仕込まれやすい場所の監視、macOSの認証情報窃取が疑われる際のブラウザセッションの迅速な無効化により、リスクを低減できます。
AmnesiaStealerは、macOSの防御において高まりつつある現実を示しています。パスワードを守るだけではもはや不十分であり、防御側はユーザーのデジタルIDへの入口として機能する度合いを増している、認証済みのブラウザセッションそのものも守らなければならないのです。
★ どのセキュリティツールを削減すべきか？1ページで一目瞭然に – Inherited Security Stack Guideをダウンロード
翻訳元: https://gbhackers.com/logged-in-session-theft/
