Bybitは、macOSユーザーを標的としたマルウェア攻撃を公表：「Claude Code」を利用した検索ポイズニングを活用した多段階攻撃

この記事を読むのに必要な時間は 6 分

Bybit 公式によると、同社のセキュリティオペレーションセンター（SOC）は、macOS ユーザーを対象とした複雑なマルウェア攻撃活動を発見しました。

Original Source: bybit

Bybit 公式サイトによると、同社のセキュリティオペレーションセンター（SOC）は、macOSユーザーを狙った複雑なマルウェア攻撃活動を発見しました。攻撃者はSEOポイズニングを使用し、悪意のあるWebサイトをGoogle検索結果の上位にプッシュし、ユーザーがAI開発ツール「Claude Code」を検索すると、偽のインストールページに誘導され、複数段階の攻撃チェーンがトリガーされ、資格情報の盗難、暗号資産の盗難、およびデバイスの長期的な制御権の取得が目標とされました。

この攻撃は、2026年3月に最初に発見されました。最初の段階では、Mach-Oドロッパーを使用して、osascriptベースの情報収集プログラムがリリースされ、AMOS、Bansheeなどのファミリー特性を備え、ブラウザーの資格情報、macOSキーチェーン、Telegramセッション、VPN構成、および暗号財布データを収集し、250以上のブラウザーウォレットプラグインと複数のデスクトップウォレットを対象にアクセスを試みました。

2番目の段階はC++バックドアプログラムであり、サンドボックス検出と暗号化設定機能を備え、システムレベルのプロキシを介して永続化を実現し、HTTPポーリング方法で命令を受信してリモート制御を実現しました。

Bybitは、今回の事件でAIを活用した分析を導入し、サンプルの分類、リバースエンジニアリング、IOC抽出、および検出ルールの生成に至るまでのプロセスをカバーし、分析時間を数時間から約40分に短縮し、検出と緩和策の展開が同日に完了するよう効率を約70%向上させました。

Bybitのリスク管理とセキュリティ責任者であるDavid Zong氏は、「このような攻撃活動を比較的早く公表した取引所の1つとして、関連する発見を公開することが業界全体の防御能力を向上させるのに役立つと考えています。AIによる補助付きSOCを活用することで、脅威の検出から完全な攻撃チェーンの可視化を単一サイクルで実現しています。かつては複数のアナリストがシフトを跨いで行っていたリバースエンジニアリング、IOC抽出、レポート作成、ルールの生成などが、今では1回のセッションで行われています。AIが多くの分析作業を担当し、アナリストが判断と検証を行います。将来的にはセキュリティは『AI対AIの戦い』の段階に入り、AIを利用した防衛がトレンドになるでしょう。Bybitは、セキュリティAI領域への投資を拡大し続け、脅威の検出を分単位の応答および自動化されたインテリジェントな対処に推進していきます。」と述べています。

調査では、攻撃者が偽のmacOSパスワードポップアップを使用してソーシャルエンジニアリング攻撃を行い、ユーザーの資格情報をキャッシュしました。一部の場合では、Ledger Live、Trezor Suiteなどの公式ウォレットをトロイの木馬バージョンに置き換えようとしました。

今回の攻撃は、Chromium ベースのブラウザ、Firefox、Safari、Apple Notes、およびローカルのセンシティブディレクトリを対象としています。関連する悪意のあるドメインと C2 インフラストラクチャは既に処理され、公開されています。攻撃では断続的な HTTP ポーリング通信が採用され、検知を困難にしました。

Bybit は、AI ツールの普及に伴い、攻撃者が開発者グループを標的とした検索結果操作を行っていることを指摘しています。開発者はコード、インフラストラクチャ、および資金の権限を持っているため、高付加価値の攻撃対象となっています。Bybit は 3 月 12 日に悪意のあるインフラストラクチャを確認し、同日中に分析、検出、および緩和策を完了し、3 月 20 日に公開して詳細な保護ガイドラインを発表しました。