新たなPamStealerの亜種が、偽の仮想通貨ウォレットインストーラーを通じてmacOSユーザーを狙っています。9月22日に公開された調査でJamf Threat Labsは、このマルウェアがパスワードやブラウザデータを窃取する一方、サーバー側が制御する復号プロセスを用いることでペイロードの解析を困難にしていると述べています。
攻撃は、マルチチェーン対応の仮想通貨ウォレットを装ったサイトwavel[.]appから始まります。このmacOS向けダウンロードボタンをクリックすると、コンパイル済みの.scptファイルを含むディスクイメージが配布されます。
Finderは通常ファイル拡張子を隠すため、このファイルは一見すると普通の書類のように見えます。ユーザーがこれをScript Editorで開き、表示される指示に従うと、埋め込まれたJavaScript for Automationが起動し、隠されたzshドロッパーが実行されます。
このドロッパーは、pkgunpackというツールと暗号化されたペイロードをwavel.apple03cloudstore[.]comからダウンロードします。従来のPamStealer亜種とは異なり、今回のものはペイロードの復号鍵を内包していません。
代わりにpkgunpackが新たな鍵ペアを生成し、ペイロードの復号に必要な素材をサーバーに問い合わせます。このサーバーからの応答がなければ、研究者は暗号化ファイルだけから第2段階のペイロードを復元することはできません。
復号後、ドロッパーは悪意のあるアプリをユーザーのLibraryフォルダ配下にFinder.appとして設置します。ダウンロードしたツールの隔離属性(quarantine属性)を除去し、実行前にアドホック署名を付与します。
また、macOSのバックグラウンド項目に関する通知プロセスにも干渉しつつ、com.apple.finder.agentという名前のLaunchAgentを登録します。
第2段階のペイロードはSwiftで記述されており、初代PamStealer亜種で見られたRust実装から置き換えられています。macOS標準のパスワード入力画面を模したダイアログを表示し、入力されたパスワードをPluggable Authentication Modules(PAM)経由で検証します。
続いて表示される2つ目のダイアログは、アプリが破損しているというエラーを装い、不正な動作をカモフラージュする役割を果たします。PamStealerはKeychainの項目にアクセスし、ログイン用Keychainデータベースをコピーします。
さらに、Chrome、Firefox、Brave、Edge、Arc、Zenを含む17種類のブラウザにわたって、認証情報データベースを標的にします。
このマルウェアパッケージには、ブラウザごとに専用のヘルパーアプリが含まれており、保護されたKeychainエントリにアクセスする際、対応するブラウザになりすますことができます。
Jamfの分析では、システム情報やシェル履歴、ユーザーのアカウント写真の収集も確認されています。同社のテストでは、ステージング用フォルダにブラウザ、拡張機能、ウォレットごとのディレクトリが作られていました。
マルウェアは収集したデータをZIPアーカイブにまとめ、動作を続けているドロッパーがこれを自身のサーバーへアップロードします。Jamfはサンドボック環境内で、このアーカイブが作成されアップロードされる様子を観測しました。
このマルウェアはいくつもの復旧手段を備えているため、駆除は困難になる可能性があります。LaunchAgentに加えて、シェルの起動時フックやグローバルなGitフックも追加します。ネットワーク接続がない状態でも、ローカルに保存されたバックアップアーカイブから悪意のあるアプリを復元できるとJamfは述べています。
Macユーザーは、検証されていないサイトが提供するウォレットインストーラーの利用を避け、Script Editorでスクリプトを開くよう求められた場合は不審なものとして扱うべきです。
感染の可能性を調査する防御担当者は、com.apple.finder.agentというLaunchAgentの有無、隠されたFinder.appのインストール状況、そしてJamfのレポートで特定されたドメインへの通信を確認するとよいでしょう。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。貴チームでも導入を検討する
翻訳元: https://cyberpress.org/pamstealer-steals-mac-crypto-credentials/
