攻撃者たちは、クラウドベースのワードプロセッサであるGoogleドキュメントを巧妙に操り、本来まったく想定されない機能を持たせました。標準的な文書をマルウェアのインストール経路として仕立て上げたのです。権威あるBlack HatとDEF CONのセキュリティカンファレンスが終了した直後、ある攻撃者がX(旧Twitter)を通じて複数の参加者に接触してきました。CoinDeskの幹部になりすまし、今後開催されるオンラインカンファレンスについて話し合いたいと持ちかけたのです。しかし、被害者が受け取ったのは通常のファイルではなく、独自のサイドバーを備えた悪意あるGoogleドキュメントでした。しかもそこには、架空の「復号キー」の入力が求められる仕掛けが施されていました。
進化したClickFixの手口
この文書には悪意あるGoogle Apps Scriptが埋め込まれており、偽のDecryptPanel.htmlインターフェースを表示するようになっていました。このスクリプトはシステム情報を密かに収集し、ユーザーの活動データをTelegram経由で外部に送信するとともに、標的の環境がWindowsかmacOSかを綿密に判別していました。復号キーは意図的にどんな値を入力しても失敗するよう仕組まれており、その結果、文書は「復号を修正する」ためのサポートを親切に申し出てきます。この巧妙な手口によって、悪名高いClickFix詐欺の手法が、一見安全に見えるGoogleドキュメントの内部にそのまま持ち込まれた形になります。
macOSを狙うAMOSスティーラー
macOS環境では、偽のプロンプトが被害者にターミナルで特定のコマンドを実行するか、GitHubから「手動アップデート」をダウンロードするよう指示してきます。後者を選択すると、強力なAMOSスティーラーが送り込まれます。このマルウェアは、ブラウザに保存されたパスワード、永続的なクッキー、Keychainのデータ、暗号資産ウォレットファイル、ローカルに保存されたTelegramのデータを容赦なく窃取します。さらにこのマルウェアは、個人用メモへのアクセス権を明示的に要求した上で、専用のLaunchDaemonを通じて強固なバックドアを確立し、最終的には感染したMacを密かなSOCKS5プロキシとして支配下に置く能力まで備えています。
ClickOnceによるWindows攻撃
一方、Windows環境における偽の復号プロセスでは、まったく架空の「Google APIコネクタ」のアップデートを要求してきます。表示されたボタンを実行すると、悪意あるClickOnceインストーラーが起動します。感染をさらに巧妙に隠蔽するため、非常に説得力のある(ただし完全に偽物の)Google Workspace Marketplaceの画面が表示される仕組みです。別の攻撃パターンでは、提示されたPowerShellコマンドを貼り付けるよう促され、その後さらなる悪意あるコンポーネントがダウンロードされます。Google Apps Scriptの組織的な悪用は過去の攻撃でも顕著に見られており、これは正規のGoogleインフラに向けたリクエストが、膨大な通常のネットワークトラフィックの中に容易に紛れ込んでしまうためです。
二次攻撃経路と不正プロキシ
最初の誘導で標的の侵害に失敗すると、執拗な攻撃者は間髪入れずに、安全なDropbox DocSendのリンクを装った二次文書を送りつけてきました。この偽装インストーラーは動作しているOSを的確に識別し、コンピューターの詳細な仕様を収集した上で、次の攻撃段階をシステムメモリ上に密かに読み込みます。Windowsマシンでは、この巧妙な攻撃チェーンによって3種類のペイロードが同時に送り込まれます。管理者権限を完全に掌握するためのNetSupport Remote Access Trojan(RAT)、不正なルート証明書を備えたローカルプロキシ、そしてLedgerの暗号資産ウォレットを狙って特別に設計されたインプラントです。
今回の攻撃で最も驚くべき要素は、このローカルプロキシでした。マルウェアは大胆にも、「Google Trust Services」という紛らわしい名称の不正な認証局証明書をWindowsのオペレーティングシステムに直接インストールします。そして、VirusTotal宛てのすべてのクエリをlocalhostへと組織的にリダイレクトし、ブラウザの証明書警告を一切発生させることなく、完全に捏造されたクリーンなスキャン結果を攻撃者が提示できるようにしていました。憂慮すべきことに、悪意あるコンポーネントを部分的に除去した後でも、不正なルート証明書、改ざんされたhostsファイルのエントリ、そして侵害されたファイアウォールルールがシステム内に居座り続ける可能性があります。
インフラストラクチャと継続する脅威
HuntressはDEF CONフィッシングキャンペーンに関する詳細な分析の中で、発見されたインフラが単発の孤立した攻撃ではなく、明らかに持続的かつ広範な運用を意図して設計されていたことを強調しています。まったく同一の悪意あるローダーが、数多くの偽ブランド名の下で拡散していた一方、コマンド&コントロールサーバーは非常に予測しやすい、決まりきった命名規則を採用していました。警戒心の強いHuntressの従業員が最初の誘導メールを的確に見抜き、あえてやり取りを継続することで、攻撃チェーン全体を分析することに成功しました。
正規のGoogleサービスは今や、単なる偽装のための誘い文句にとどまらず、悪意あるインフラそのものを構成する不可欠な要素として機能しつつあります。最近、Talosの専門家たちは、攻撃者がGoogleドキュメントとGoogleスプレッドシートに攻撃の重要な構成要素を直接埋め込み、ブロックされた文書を新しい悪意ある文書へと迅速に差し替えていた、別の複雑なキャンペーンを解析しています。
Huntressは以前にも、ユーザーの暗黙の信頼を意図的に悪用するこの種の手口に遭遇しています。別のキャンペーンでは、経理部門から届いた一見ごく普通の請求書が、従業員を巧みに操って手動で実行チェーンを開始させました。この攻撃チェーンでは、検知されやすい従来型の悪意あるファイルに頼るのではなく、完全に正規のリモート管理ツールがインストールされました。
悪意ある攻撃者たちは、Googleの公式ドメインに対する信頼を執拗に悪用し続けています。2026年春には、巧妙なGTFireキャンペーンが正規のGoogleサービスの裏に悪意あるフィッシングリダイレクトを巧みに隠し、疑わしいURLをエンドユーザーにも自動化されたセキュリティシステムにも完全に無害に見せかけることに成功しました。
翻訳元: https://meterpreter.org/google-docs-amos-mac-stealer/
