悪質なMacマルウェアがさらに巧妙化

WIREDに掲載されているすべての製品は、編集者が独自に選定したものです。ただし、小売店やリンクを経由した製品購入から報酬を受け取る場合があります。詳細はこちらをご覧ください。

UpdateAgentとして知られるMacマルウェアは1年以上前から拡散しており、開発者が新たな機能を追加するにつれて、その悪質性はますます高まっています。追加された機能には、感染したMacに永続的なバックドアをインストールする、攻撃的な第2段階のアドウェアペイロードの配布が含まれます。

UpdateAgentマルウェアファミリーは、2020年11月か12月には、比較的基本的な情報窃取型マルウェアとして拡散し始めました。製品名、バージョン番号、その他の基本的なシステム情報を収集していました。Macの起動時に実行されるという永続化手法も、かなり初歩的なものでした。

中間者攻撃

マイクロソフトは水曜日、UpdateAgentは時間の経過とともにますます高度化していると述べた。攻撃者のサーバーにデータを送信するだけでなく、マルウェアがまだ実行されているかどうかを攻撃者に知らせる「ハートビート」も送信する。また、「Adload」と呼ばれるアドウェアもインストールする。

Microsoft の研究者は次のように書いています。

アドウェアがインストールされると、広告挿入ソフトウェアと技術を用いてデバイスのオンライン通信を傍受し、ユーザーのトラフィックをアドウェア運営者のサーバーにリダイレクトして、ウェブページや検索結果に広告やプロモーションを挿入します。具体的には、Adloadは中間者攻撃（PiTM）を利用してウェブプロキシをインストールし、検索エンジンの検索結果を乗っ取ってウェブページに広告を挿入することで、公式ウェブサイト運営者からアドウェア運営者へと広告収入を吸い上げます。

Adloadもまた、異常に持続的なアドウェアの一種です。バックドアを開いて他のアドウェアやペイロードをダウンロード・インストールするだけでなく、攻撃者のC2サーバーに送信されるシステム情報を収集する機能も備えています。UpdateAgentとAdloadはどちらも追加のペイロードをインストールする機能を備えているため、攻撃者はこれらのベクトルのいずれか、あるいは両方を利用して、将来のキャンペーンで標的システムにさらに危険な脅威を拡散させる可能性があります。

UpdateAgent は、アドウェアをインストールする前に、macOS のセキュリティメカニズム Gatekeeper がダウンロードしたファイルに追加するフラグを削除するようになりました。（Gatekeeper は、新しいソフトウェアがインターネットからダウンロードされたことをユーザーに警告し、そのソフトウェアが既知のマルウェアの種類と一致しないことを保証します。）この悪意のある機能は目新しいものではありませんが（2017 年の Mac マルウェアも同様の機能を持っていました）、UpdateAgent に組み込まれていることは、このマルウェアが継続的に開発されていることを示しています。

UpdateAgentの偵察活動は拡張され、システムプロファイルとSPHardwaretypeデータの収集が可能になりました。これらのデータから、Macのシリアル番号などが明らかになります。また、このマルウェアは、以前のLaunchAgentフォルダではなく、LaunchDaemonフォルダを変更するようになりました。この変更により、UpdateAgentは管理者権限で実行する必要がありますが、この変更によってトロイの木馬はルート権限で実行される永続的なコードを挿入できるようになります。

次のタイムラインは進化を示しています。

インストールされると、マルウェアはシステム情報を収集し、攻撃者の制御サーバーに送信し、その他多数のアクションを実行します。最新のエクスプロイトの攻撃チェーンは以下のとおりです。

マイクロソフトによると、UpdateAgentはビデオアプリやサポートエージェントなどの正規のソフトウェアを装い、ハッキングされたウェブサイトや悪意のあるウェブサイト上のポップアップ広告や広告を通じて拡散されるという。マイクロソフトは明確には言及していないが、どうやらユーザーはUpdateAgentをインストールさせられるよう仕向けられ、その過程でGatekeeperが設計通りに動作するようだ。

UpdateAgentの進化は、macOSマルウェア全体の縮図と言えるでしょう。マルウェアはますます高度化しています。Macユーザーは、ブラウザウィンドウに感染やパッチ未適用のソフトウェアを警告する迷惑ポップアップなど、ソーシャルエンジニアリングの罠を見抜く方法を学ぶべきです。

このストーリーはもともと Ars Technicaに掲載されました。

WIREDのその他の素晴らしい記事