Macでコマンドを実行したら、パスワードも暗号資産も盗まれた。新型マルウェアの手口とは？

macOSユーザーをターゲットに、情報を盗むマルウェアを仕込む新たな攻撃が猛威をふるっています。この「AmnesiaStealer」は「ClickFix」型攻撃の亜種で、Google ChromeやMicrosoft Edgeをはじめとする「Chromium」ベースのブラウザで実行中のセッションを乗っ取るものです。

AmnesiaStealerは、ブラウザを遠隔操作し、個人情報が含まれている大量のユーザーデータにアクセスします。

その恐ろしさを考えると、感染のきっかけとなる手口や、実際に狙われた場合にどう対処すればいいのかを知っておくことが、被害を避ける一番の近道です。以下で詳しく説明しましょう。

macOS上のブラウザを乗っ取る「AmnesiaStealer」の脅威

ITニュースメディア「BleepingComputer」の記事によると、AmnesiaStealerは、ターゲットになったユーザーのChromiumプロファイルを複製する能力を持っています。

狙われるのは、Google ChromeやMicrosoft Edgeに加えて、BraveやOperaなど、Chromiumをベースにしたウェブブラウザ16種類。これらのブラウザからユーザーデータを収集し、認証済みセッションにアクセスし、遠隔制御してしまいます。

つまり、攻撃者に対して、複数ウェブサイトの閲覧、Cookieのエクスポートおよびインポート、オンラインポータルへのアクセスを許すことになります。さらに、保存済みのログイン情報や閲覧履歴、ブックマーク、拡張機能、さらには暗号通貨ウォレットのデータも奪われてしまいます。

それだけではありません。AmnesiaStealerは、ユーザーのmacOSパスワードを収集するだけでなく、キーチェーンに保存されたデータ、Apple純正の「メモ」アプリの中身、Telegramのログイン状態、各種ドキュメントやシステム情報にまで、アクセスできてしまいます。

この攻撃を発見したセキュリティ企業Jamfの研究者は、この攻撃を企てるハッカーが、偽のGitHubページ上にパスワード保護されたZIPアーカイブを掲載し、これを通じてマルウェアを配布していることを突き止めました。

この偽のページの誘導に従って、Macに標準でインストールされている「ターミナル」アプリ上で、ユーザーがあるコマンドを実行すると、ペイロードがダウンロードされてマルウェアがインストールされ、説明してきたようなレベルのアクセス権を与えてしまうことがわかっています。

この攻撃は、以前に発見されていた、ユーザー情報を盗むマルウェア「Atomic」や「MacSync」の手口をそっくり真似しています。つまり、こうしたブラウザ乗っ取り型の攻撃はもはや珍しいものではなく、次々と亜種が現れる「定番の手口」になりつつあるということです。

ブラウザ乗っ取りを防ぐための対策

AmnesiaStealerから身を守るために、次の3点を意識しましょう。

ネットで見つけたコマンドを、ターミナルやシステムダイアログに絶対にコピー＆ペーストしない

macOSやブラウザを常に最新バージョンに保つ

信頼できるセキュリティソフトを導入し、定期的にスキャンする

その根底にあるのが、ClickFix型攻撃（ソーシャルエンジニアリングの手法を用いて、マルウェアをデバイスに送りつけようとする攻撃）に対して、警戒のアンテナを高めておくという心構えです。

よくある手口は、偽のエラーメッセージやCAPTCHAフォーム、そして今回のように悪意あるペイロードをインストールするコマンドプロンプトを使うものです。侵入したのち、マルウェアはユーザーの行動を密かに監視し、個人データを盗み、マシンを乗っ取ってしまいます。

攻撃者は「このコマンドは、正規のソフトウェアをダウンロードするだけの無害なものだ」とユーザーに思い込ませることで、警戒心をすり抜けようとします。ターミナルで何が実行されているかを普段意識する機会がない、という多くの人にとって当たり前の状況につけ込んでいるのです。

ですから、ネット上で見つけたプロンプトについては、それがどんなものであっても、強い疑いの目を向けましょう。非正規の提供元から得たコマンドは、ターミナル上で決して実行しないことが肝心です。

今回AmnesiaStealerの拡散に使われた偽のGitHubページでは「Verified Publisher」（認証済みパブリッシャー）というバッジも再現されており、ユーザーを信用させようとしています。

テクニカルサポートを騙る詐欺にみられるように、詐欺を企てる攻撃者は、真っ当な企業になりすまそうとするものです。そのため、やり取りしている相手が信頼できる会社やサービスだと思っても、ネットから持ってきたコマンドをシステムダイアログにコピー＆ペーストするのは絶対にやめましょう。

Emily Long

セキュリティ、プライバシー、ストリーミング技術を専門とするライター兼編集者。10年近いキャリアの中で、WirecutterやTom’s Guideなどの主要メディアを通じ、複雑な技術を生活に役立つ情報として発信している。社会福祉学の修士号を持ち、人間心理とテクノロジーの交差点に深い関心を寄せる。