偽のmacOSトラブルシューティング投稿が暗号ウォレット窃盗ツールをインストール

攻撃者はMedium、Craft、Squarespaceに偽のmacOSトラブルシューティングガイドを投稿しています。 目的は、iCloudデータ、保存されたパスワード、暗号ウォレットを対象としたマルウェアをインストールするTerminalコマンドを実行させることです。

MicrosoftのDefender Security Research Teamが調査結果を発表しました。このキャンペーンは2025年後半から継続しており、ディスクスペースの解放やシステムエラーの修正など、一般的な問題の解決策を求めるMacユーザーを狙っています。

正規の修正を提供する代わりに、これらのページはユーザーにコマンドをコピーしてTerminalに貼り付けるよう指示します。そのコマンドはマルウェアをダウンロードして実行します。

誤解を招くブログ投稿は、読者に悪意のあるコマンドをコピーしてTerminalに貼り付けるよう指示します。このコマンドはマルウェアをダウンロードし、被害者のコンピュータで実行します。

この技術はClickFixと呼ばれ、ペイロードの実行責任を被害者に転嫁するソーシャルエンジニアリングです。ユーザーがTerminalでコマンドを直接実行するため、macOSのGatekeeperはペイロードを検査しません。

Gatekeeperは通常、Finderを通じて開かれたアプリバンドルのコード署名とノタライゼーションをチェックしますが、この方法ではそれを完全に回避します。

攻撃者は同じ目的で3つのキャンペーンを開始しました

Microsoftは3つのキャンペーンインストーラーを特定しました：

1. ローダー。
2. スクリプト。
3. ヘルパー。

これら3つすべてが機密データを収集し、永続性を確立し、盗まれた情報を攻撃者のサーバーに送信します。

マルウェアファミリーにはAMOS、Macsync、SHub Stealerが含まれます。3つのマルウェアのいずれかがインストールされると、iCloudとTelegramアカウントのデータが狙われます。次に、2MB未満のプライベートドキュメントと写真を探します。そして、Exodus、Ledger、Trezorから暗号ウォレットのキーを抽出し、ChromeとFirefoxから保存されたユーザー名とパスワードを盗みます。

インストール後、マルウェアは偽のダイアログを表示し、「ヘルパーツール」をインストールするためにシステムパスワードの入力を求めます。ユーザーがパスワードを入力すると、攻撃者はファイルやシステム設定への完全なアクセス権を得ます。

一部のケースでは、研究者は攻撃者が正規の暗号ウォレットアプリを削除し、取引を監視して資金を盗むために設計されたトロイの木馬版に置き換えていることがわかりました。

Trezor Suite、Ledger Wallet、Exodusはこの攻撃の主なターゲットとなったアプリの一部です。

ローダーキャンペーンにはキルスイッチも含まれています。マルウェアはロシア語のキーボードレイアウトを検出すると実行を停止します。

セキュリティ研究者は、攻撃者がcurl、osascript、および他のネイティブmacOSユーティリティを使用して、ペイロードをメモリ内で直接実行していることを観察しました。これは標準的なアンチウイルスツールにとって検出が難しいファイルレスのアプローチです。

攻撃者は暗号通貨開発者を狙う

ANY[.]RUNのセキュリティ研究者は、「Mach-O Man」と呼ばれるラザルスグループの操作を発見しました。ハッカーは偽の会議招待状を通じて同じClickFix技術を使用しました。彼らはmacOSが一般的なフィンテックおよび暗号通貨マシンを狙いました。

CryptopolitanはPromptMinkキャンペーンについて発表しました。

北朝鮮グループのFamous Chollimaは、AI生成の変更を通じて、暗号通貨取引プロジェクトに悪意のあるnpmパッケージを仕入れました。2層のパッケージアプローチを使用し、マルウェアはウォレットデータとシステムシークレットへのアクセスを取得しました。

両方のキャンペーンは、暗号ウォレットデータが価値があることを示しています。攻撃者は、偽のブログ投稿からAI支援サプライチェーン侵害まで、配信方法を適応させてこれに到達しようとしています。