macOSマルウェアのアップグレード：署名付きアプリを装った拡散により、ユーザーの暗号化によるリスクがさらに隠れています

BlockBeats ニュース、12 月 23 日、SlowMist の最高情報セキュリティ責任者 23pds が投稿し、「MacSync Stealer」として知られる macOS プラットフォーム向けの悪意あるソフトウェアが明らかな進化を遂げ、ユーザーの資産が盗まれていると共有しました。彼が転載した記事によると、初期の「ドラッグ＆ドロップ」「ClickFix」などの低いハードルの誘導手法に依存していたものから、コード署名を行い、Apple が公証した Swift アプリケーションとして、かなりの隠匿性が向上しています。

研究者は、このサンプルが「zk-call-messenger-installer-3.9.2-lts.dmg」という名前のディスクイメージとして広まり、インスタントメッセージングやツールアプリケーションに偽装してユーザーを誘導することが分かりました。過去とは異なり、新しいバージョンではユーザーによるターミナル操作が不要で、代わりに組み込まれた Swift アシスタントプログラムがリモートサーバーからスクリプトを取得して実行し、情報窃取プロセスを完了します。

この悪意のあるプログラムは既にコード署名を完了し、Apple が公証しました。開発者チームの ID は GNJLS3UYZ4 であり、関連するハッシュはまだ Apple によって取り消されていませんでした。これは、macOS のデフォルトのセキュリティメカニズムにおいてより高い「信頼性」を持ち、ユーザーの警戒を回避するのがより簡単であることを意味します。研究では、この DMG が異常に大きいことが判明し、LibreOffice に関連する PDF などの誘因ファイルが含まれていることが確認されました。これらは疑いをさらに晴らすために使用されます。

セキュリティ研究者は、この種の情報窃取トロイの木馬が通常、ブラウザーデータ、アカウント資格情報、暗号化ウォレット情報を主なターゲットとしていることを指摘しています。悪意のあるソフトウェアが徐々に Apple の署名と公証メカニズムを濫用し始めることで、暗号資産のユーザーは macOS 環境でフィッシングや秘密鍵漏えいのリスクに直面しています。

最新の情報窃取プログラムの変種から守るために、Jamf for Mac で脅威防止と高度な脅威制御を有効にし、それをブロックモードに設定することを強くお勧めします。