Microsoft Defender Expertsは、macOSデバイスを標的とするMacSync Stealerの活動に関連する30以上のドメインを明らかにしました。これは、ドメイン名だけに依存するのではなく、エンドポイントとネットワーク上での挙動を分析した結果です。このマルウェアは、悪意のあるペイロードの配信、感染デバイスとの通信、データ窃取のために変化するインフラストラクチャを使用します。しかし、コマンドの実行、ネットワークリクエスト、ファイルの準備に関するパターンは繰り返されており、ドメインが変更されても活動の追跡が可能でした。
この調査は、RST Cloudが以前に、限られた数のドメインと、脅威が公に明らかにされた後のコマンド・アンド・コントロール（C2）サーバーの急速な変更を確認したことを受けて行われました。Microsoftは、ペイロードの取得、サーバーへの接続確立、データ収集、圧縮、持ち出しの各段階で繰り返される挙動を関連付けることで、監視範囲を拡大しました。
感染はどのように始まるのか？
確認された活動は、macOSのターミナルにおける対話型セッションから始まっていました。これは、ユーザーをだましてコマンドをTerminalにコピーさせ、実行させるClickFix型のソーシャルエンジニアリング手法と一致します。攻撃者はcurlを使って、自らが制御するパスからコンテンツを取得し、その後、Base64やgunzipなどのネイティブツールを使ってペイロードをデコードまたは解凍していました。
続いてマルウェアは、AppleScriptを介してShellコマンドを実行するためにosascriptを利用し、sh、cp、rm、mkdir、killallなどのツールも使用しました。この一連の流れは、ダウンロード先のアドレスだけを確認するよりも強力な防御側のシグナルになります。特に、Terminalまたはzshの起動後、ペイロードの取得とデコードが行われ、その直後に外部通信が発生する場合が該当します。
MacSyncが標的とするデータとは？
この活動は、攻撃者のサーバーへの定期的なビーコン送信にとどまりませんでした。Microsoftは、ホスト、ユーザー、実行中のプロセスに関する情報に加え、暗号資産ウォレットアプリケーションや、LedgerおよびTrezorに関連するローカル痕跡を探す、広範な収集活動を確認しました。
このマルウェアは、macOS Keychainの情報、Browser Safe Storageのキー、ブラウザーの認証情報、Cookie、ログインデータベース、セッションデータ、IndexedDB、LevelDB、拡張機能のストレージも標的にしました。対象には、Chrome、Brave、Edge、Opera、Vivaldi、Arc、Chromiumなどのブラウザーのほか、Safariのデータ、Apple Notes、SSHキー、AWS認証情報、Kubernetes設定、ブラウザープロファイルが含まれていました。
またMacSyncは、Downloads、Documents、Desktopフォルダー内の機密ファイルも検索しており、PDF、DOCX、TXT、KEY、PEM、KDBX、OVPN、WALLET、SEEDの各ファイル形式が含まれていました。
変化するインフラストラクチャの追跡が難しい理由
Microsoftは、プロセスコンテキスト、コマンドライン、ネットワークデータを通じて複数の行動特性が一致した場合に、ドメインを関連付けました。主な手掛かりには、/curl/、/dynamic?txd=、/gate?buildtxd=などの繰り返し現れるURIパス、-k、-s、--max-time、--data-binaryオプションを含むcurl文字列、macOS固有のUser-Agent、API-keyヘッダーがありました。
データ持ち出しの段階では、ファイルを/tmp/sync*パスの下に集めた後、/tmp/osalogging.zipパスに圧縮し、アーカイブを複数の部分に分割してHTTP PUTリクエストでアップロードしていました。リクエストにはupload_id、chunk_index、total_chunksの値が含まれており、ファイル作成、プロセス、通信のイベントと関連付けられる指標となります。
RST Cloudは、繰り返し現れるURIパターンを利用して、追加で11の候補ドメインを発見しました。また、4つの確認済みC2ドメインに共通する固定のAPI-key値も見つけました。一方、ビルドトークンは展開のたびに変化していました。この結果は、単一の特性による照合では不十分な場合がある一方、複数の特性が一致すれば、無関係なドメインを関連付けるリスクを低減できることを示しています。
防御側にとって実際に何が変わるのか？
この調査の重要性は、重心を固定的な侵害指標から行動の連鎖へ移した点にあります。ドメインのローテーションによって、ドメイン名に基づくブロックや、後続のIPアドレス照合の有効性は低下する可能性があります。しかし、curlの使用、AppleScriptの実行、パスワードストアへのアクセス、一時アーカイブの作成、分割アップロードの実行による痕跡が必ずしも消えるわけではありません。
- 通常とは異なるTerminalおよびzshセッションを監視します。特に、ユーザーの操作後にペイロードの取得またはデコードが始まるセッションに注意します。
- osascriptと、Base64、gunzip、cp、rm、mkdir、killallなどのシステムツールを組み合わせた連続した動作を検出します。
- Keychain、ブラウザー認証情報、SSHキー、クラウドデータへのアクセスを、アーカイブまたは一時ファイルの作成と関連付けます。
- --data-binary、upload_id、chunk_index、total_chunksの値、または繰り返し現れる/gateパスを使用するHTTP PUT操作を調査します。
- 新しいドメインや疑わしいドメインは補助的な指標として扱い、ドメインが変更された後もリクエストの形式とプロセスのコンテキストを引き続き調査します。
Microsoftによると、AppleはmacOS 26.4およびそれ以降のバージョンで、ClickFix攻撃を無効化する保護機能を追加しました。これには、Terminalへの悪意のある可能性があるコマンドの貼り付けを阻止する場合がある警告に加え、検出された悪意のあるスクリプトの実行を防止できるXProtectチェックが含まれます。また、Microsoft Defenderまたは同等のセキュリティ製品で、クラウド提供の保護、ネットワークとWebの保護、改ざん防止を有効にすることを推奨しています。
Microsoft Defender XDRのユーザーには、検出、調査、対応の機能に加え、デバイス範囲、期間、許可リストに応じて構成できる脅威インテリジェンスレポートとAdvanced Huntingクエリが提供されています。これらのクエリだけで感染を確認できるわけではありませんが、curlの挙動、リクエストパス、AppleScriptプロセスを攻撃チェーンの他の段階と関連付けるための出発点になります。