MaaS(Malware-as-a-Service)モデルで販売されているmacOS向けの情報窃取・リモートアクセスステージャー「MacSync」が、ClickFix型の偽装手口や検索エンジン広告への不正広告掲載、偽ソフトウェアダウンロードページを通じてApple製品ユーザーを標的にしています。
このマルウェアはソフトウェアの脆弱性を悪用するのではなく、ソーシャルエンジニアリングに依存しています。被害者はGoogle Meet、Zoom、Claude AI、ChatGPT、Cloudflare、Docker、Notion、Cursor、TradingView、そして各種暗号資産アプリケーションなど、著名ブランドになりすました不正なページへと誘導されます。
これらのページには偽のエラーメッセージやCAPTCHA認証、インストールプロンプトが表示され、ユーザーにmacOSのターミナルでコマンドをコピー&実行するよう指示します。コマンドが実行されると、軽量なネイティブMach-Oステージャーが起動する仕組みです。
この悪意あるバイナリはfork()関数とsetsid()関数を使ってターミナルセッションから静かに切り離され、標準入力・標準出力・標準エラー出力を/dev/nullへリダイレクトします。
これにより目に見えるエラーメッセージの表示を防ぎ、被害者に気づかれることなくバックグラウンドで動作できるようになります。
MacSyncのサンプルは、コマンド文字列や一時パス、APIヘッダー、C2(コマンド&コントロール)アドレスを静的なセキュリティスキャンから隠すために、鍵として0xAAを用いたシングルバイトXOR難読化も使用しています。
解析対象となったサンプルは、署名識別子com.utils.Launcherを用いたアドホック署名済みの64ビットx86_64 Mach-O実行ファイルでした。
このステージャーはHTTPS経由でC2インフラと通信し、動的なAppleScriptペイロードをダウンロードします。MacSyncはスクリプトをデバイスに保存するのではなく、サーバーからのレスポンスをmacOSのネイティブユーティリティであるosascriptに直接パイプで渡します。
このファイルレス方式により、攻撃者はメインバイナリを再ビルドして再配布することなく、サーバー側で窃取ロジックを変更できます。
標的にはMetaMask、Phantom、Coinbase、TronLink、Exodus、Electrumの各ウォレットデータが含まれる可能性があります。
収集された情報は/tmp/osalogging.zipという名前の一時アーカイブに保存されます。その後MacSyncはこのアーカイブを10MB単位に分割し、HTTP PUTリクエストで各パートをアップロードします。
このマルウェアはアップロードに失敗すると遅延時間を徐々に増やしながらリトライを行うため、不安定な通信環境下でも窃取が成功する可能性を高めています。
サーバーから成功レスポンスを受信すると、アーカイブと一時ステータスファイル/tmp/.httpcodeの両方を削除します。この後処理により、侵害された端末に残るフォレンジック証跡が減らされます。
MacSyncを用いたキャンペーンは、ソフトウェア開発者、リモート勤務の従業員、暗号資産トレーダー、Web3ユーザー、企業スタッフを狙うよう設計されているとみられます。
偽のDocker、Cursor、Claude AI、Notionインストーラーは、クラウド認証情報やソースコード、CI/CD環境へのアクセス権を持つ開発者を標的にする可能性があります。
偽のGoogle MeetやZoomのトラブルシューティングプロンプトは、企業のセッショントークンやKeychainデータ、IDプロバイダーの認証情報を窃取する恐れがあるとseqriteは述べています。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的にディフェング処理(例: [.])を施しています。再度有効な形式に戻す場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。
16,000以上の組織から得られる最新の脅威インテリジェンスで、脅威の検知率を58%向上。TIフィードを統合し、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/macsync-clickfix-wallet-heist/
