ReaperマルウェアがScript Editorを乗っ取り、macOS上の暗号化ウォレットから資金を奪う

Reaperという新しいタイプのMacマルウェアが、WeChatやMiroなどのアプリの偽ダウンロードページを通じて拡散しています。侵入すると、暗号化ウォレットのデータと保存されたブラウザのパスワードを盗みます。

これは、以前に人々を騙してTerminalに悪意のあるコマンドを貼り付けさせていた古いトリックの、より賢明なバージョンです。Appleは最近のmacOSアップデートでこの穴を修正しましたが、Reaperは異なる組み込みAppleツールを使用して、同じ被害をもたらす方法を見つけました。

マルウェアの表面としてTerminalに代わってScript Editorが採用される

偽のダウンロードサイトはAppleScriptを通じてScript Editorをトリガーします applescript:// URL。

悪意のあるコードは不可視です。攻撃者はASCIIアートと空白文字を使用してこれを隠します。ユーザーがScript Editorの再生ボタンをクリックすると、知らないうちに隠されたコマンドが実行されます。

Script EditorはすべてのMacコンピュータにプリインストールされています。ほとんどの人はウイルスを関連付けません。

タイポスクワッティングされたドメインと偽のAppleアップデートが信頼を構築する

攻撃は、潜在的な被害者にとって正当に見える偽のドメインから始まります。セキュリティ研究者は、以下を含むタイポスクワッティングされたMicrosoftドメインにホストされたインフラストラクチャを発見しました。 mlcrosoft[.]co[.]com.

スクリプトが実行されると、偽のAppleセキュリティアップデートダイアログが表示され、被害者にコンピュータのパスワードの入力を促します。

その後、Reaperはシステムのキーボードレイアウトを確認します。キーボードがロシア語用に構成されている場合、マルウェアは停止します。そうでない場合、マルウェアはAtomic macOS Stealer（AMOS）をモデルにしたデータ窃盗モジュールをアクティブ化します。

暗号化ウォレット、ブラウザ、ドキュメントがすべて標的となる

Reaperは、Ledger Live、Trezor Suite、Exodusを含むデスクトップの暗号化アプリケーションを標的とします。マルウェアは暗号化ウォレットの内部コードを変更し、将来のトランザクションをインターセプトして資金をリダイレクトします。

このスチーラーは、Chrome、Firefox、Edgeから保存された資格情報を収集します。また、1PasswordやMetaMaskなどのブラウザ拡張機能からもデータを取得します。

ファイルの .docx, .pdf, .xlsx, .wallet、 .keys 拡張子を持つファイルがDesktopおよびDocumentsフォルダで見つかり、70MBのZIPチャンクに圧縮されて外部のコマンドアンドコントロールサーバーにアップロードされます。

永続的な攻撃のために、ReaperはGoogle Software Updateディレクトリとして偽装されたバックドアをインストールします。

Moonlockの分析によると、Reaperは約2ヶ月の間にこの自動化されたAppleScriptアプローチを採用した3番目のキャンペーンです。

MicrosoftのDefender Security Research Teamは、Medium、Craft、Squarespaceに投稿された偽のmacOSトラブルシューティングガイドに関連する一連のキャンペーンを文書化しました。これらはCryptopolitanが以前報告したものです。

これらのキャンペーンは、同じClickFixアプローチを使用して、Terminalコマンドを通じてAMOS、Macsync、SHub Stealerを配信しました。Cryptopolitanによると、正当なウォレットアプリは削除され、悪意のあるバージョンに静かに置き換えられました。

新しいものをインストールする前に、ダウンロードリンクを必ず再確認してください。ポップアップが予期せずMacのパスワードを要求した場合、入力しないでください。優れたセキュリティツールは、被害を引き起こす前に難読化されたスクリプトを検出します。もしウェブサイトがScript Editorを開くように指示してきたら、タブを閉じてください。