Macエコシステムは、まったく新しいレベルの脅威に直面しています。それは、Apple の信頼できるシステムを悪用してコンピュータに侵入するデータ窃盗を専門とするマルウェア、MacSync Stealer です。過去の粗悪なウイルスとはかけ離れたこの悪意のあるソフトウェアは、 Mac および Linux に対するサイバー攻撃の分析で示されているように、スペインやその他のヨーロッパ諸国を含む地域で、有効な開発者署名と公証された検証プロセスを備えた、正当で信頼できるアプリケーションとして振る舞います。
最新の亜種では、この悪意のあるコードはSwiftアプリとして実行され、Appleによって署名および公証されているため、GatekeeperやXProtectといったmacOSの初期セキュリティ対策の多くを回避できます。この飛躍的な進歩により、早期発見がより困難になり、家庭環境と職場環境の両方で、個人情報や企業データが密かに漏洩する危険性が高まります。
MacSync Stealer とは何ですか? また、macOS ではどのように進化しましたか?
感染初期段階では、ClickFixのような手法や、ターミナルで悪意のあるスクリプトを実行するための古典的な「コピー＆ペースト」コマンドなど、ユーザーによる明示的な操作を必要とする手法が用いられていました。この手法は、より多くの手動操作を必要とするため、ユーザーは何か異常に気づき、被害が拡大する前にインストールを中止する機会が増えました。
Appleデバイスのセキュリティ対策を専門とする大手ラボ、 Jamf Threat Labsの分析によると、最新の亜種では状況が大きく異なっている。同ラボの報告によれば、MacSync Stealerはより自動化された、目立たない感染モデルに移行しており、被害者に目に見える兆候を最小限に抑え、Appleの署名と公証によって生み出される信頼性を活用しているという。
この攻撃の巧妙な点は、最初の段階では、正規の開発者ID、有効なコード署名、公証済みのSwiftアプリケーションを装っていることです。オペレーティングシステムとほとんどのユーザーにとって、この組み合わせは信頼できるソフトウェアの代名詞となりますが、実際には、これは綿密に仕組まれた感染チェーンの最初の段階なのです。
多くの場合、脅威はメッセージングサービス、生産性向上ツール、または同期ユーティリティを装って侵入し、その名前、アイコン、説明は全く無害に聞こえる。この偽装は、最初の疑念をさらに薄れさせる。これは、Macが日常業務ツールとして定着しているヨーロッパのオフィス、公共機関、企業においては特に懸念される点である。
Gatekeeperを回避し、ドロッパーとして機能するSwiftインストーラー
Jamfが説明したキャンペーンでは、脅威の最初のコンポーネントがSwiftで記述されたドロッパーとして機能することが明らかになりました。これは一見正規のインストーラーのように見えますが、その真の目的は、リモートサーバーから悪意のあるコードをダウンロードするための準備を整えることです。当初、このアプリを含むMach-Oバイナリは署名と公証を受けており、実際の開発者チームIDに関連付けられているため、Gatekeeperの初期チェックを容易に通過できます。
分析された事例の一つでは、ドロッパーは「zk-call-messenger-installer-3.9.2-lts.dmg」のようなメッセージングアプリケーション名を持つDMGディスクイメージとして配布され、キャンペーン用に用意されたドメイン上でホストされていました。インストーラーは、通話およびメッセージングツールを装ってユーザーに提示するため、従来の感染手法のような複雑な手順を踏むことなく、ダブルクリックするだけで実行できます。
パッケージに署名があっても、攻撃者はユーザーに右クリックして「開く」を選択させるよう指示を追加することがあります。これは、アプリがMac App Store以外から入手された場合にmacOSの警告を回避するための古典的な手口です。多くの人が見落としがちなこの小さな点だけでも、特にソフトウェアが怪しいウェブサイトから入手された場合は、警戒すべきです。
ユーザーがアプリケーションを起動すると、ドロッパーは第2段階に進む前に一連の環境チェックを実行します。その手順には、デバイスのインターネット接続が安定していることの確認、特定のシステム条件のチェック、そして場合によっては、動作が急すぎたり不審であったりしないよう、最低約3600秒の実行時間を待機することなどが含まれます。
攻撃者が設定した条件が満たされると、プログラムはリモートのコマンド＆コントロールサーバーに接続し、通常はBase64でエンコードされたスクリプトまたはペイロード（MacSync Stealerの中核部分を含む）をダウンロードします。この段階では、情報窃盗と侵害されたMacの制御維持を担うコードは既に存在しており、最初のインストーラーは単なるトロイの木馬として機能します。
検出を回避するための、膨らんだDMGファイル、おとりファイル、ダウンロードの変更
研究者の注目を最も集めている点の1つは、ダミーファイルが詰め込まれた大容量のディスクイメージが使用されていることだ。このインストーラーに関連付けられているDMGファイルは約25,5MBで、単純なメッセージングアプリケーションや軽量ユーティリティに見えるものとしては異常に大きなサイズである。
Jamf Threat Labsによると、このサイズは、 PDFファイルやアプリの機能に全く関係のない埋め込みファイルなど、無関係なドキュメントでパッケージを膨らませることで実現されている。実際のコンポーネントにこうした不要なコンテンツが混在することで、ウイルス対策ソフトやセキュリティソリューションによる自動分析が複雑化する。これらのソリューションは、より多くのデータを処理し、正当なものとそうでないものを区別する必要があるからだ。
ディスクイメージをマウントしてアプリケーションを実行すると、ドロッパーはローカル環境のスキャンを開始し、接続性から特定のシステムパラメータまであらゆるものをチェックします。シナリオが適切であると確信できた場合にのみ、リモートインフラストラクチャに接続して2番目のモジュールをダウンロードします。多くの場合、ペイロードは主にメモリ上で実行されるため、ディスクへの痕跡は最小限に抑えられ、その後のフォレンジック検出をさらに困難にします。
この第2段階でダウンロードされたコードは、Mac.cとして知られる以前のファミリーの進化版であるMacSyncに相当します。独立した調査によると、このエージェントはGo言語で開発されており、macOSを標的とする他の最新の脅威の傾向に沿って、単にパスワードを盗むだけにとどまらない幅広い機能を備えていることが示されています。
さらに、攻撃者は プロセスで使用されるダウンロードコマンド次のようなツールの使用 curl これは、あまり一般的ではないパラメータの組み合わせで行われます。たとえば、典型的な文字列を -fsSL 旗のような -fL y -sS次のようなオプションを組み込む --noproxy— を目指して 繰り返しパターンに基づく検出ルールの回避 サーバーへの接続の信頼性を向上します。
データ泥棒からリモートコントロールプラットフォームへ
MacSync Stealerの中核は、基本的な情報窃盗マルウェアの範疇を超えています。技術分析によると、このエージェントは完全なコマンド＆コントロール（C2）機能を備え、影響を受けるチームとの継続的な通信を維持し、リアルタイムで指示を受け取る準備ができています。
このファミリーに帰属する機能には、認証情報、ブラウザのCookie、銀行カードデータ、仮想通貨ウォレットの窃盗、および攻撃者にとって関心のあるあらゆる種類のファイルの外部流出が含まれます。macOSキーチェーンに保存されている情報や、Safari、Chrome、Firefoxなどのブラウザからのデータへのアクセスも確認されており、これらは金融詐欺や企業スパイ活動にとって非常に魅力的な標的となっています。
もう一つの重要な点は、必要に応じて追加モジュールをインストールできることです。このモジュール式のアプローチにより、侵害されたデバイスは一種の悪意のある「スイスアーミーナイフ」と化します。今日はパスワードの収集に重点が置かれていても、明日はキーストロークのログ記録、ファイルの暗号化、企業ネットワーク内での横方向の移動、あるいは新しいリモートアクセスツールの展開に重点が置かれる可能性があります。
スペインをはじめとするヨーロッパのユーザーや企業にとって、単なるデータ窃盗犯から柔軟なリモート制御プラットフォームへの移行は、リスクレベルの大幅な上昇を意味します。感染したMacは、単なる情報窃盗の単発的な発生源ではなくなり、企業ネットワーク、クラウドサービス、あるいはデバイスがアクセスできる重要なシステムへのゲートウェイとなるのです。
このシナリオは、様々なサイバーセキュリティ企業が観察しているより広範な傾向と一致している。すなわち、 macOSを標的とした情報窃盗マルウェアやモジュール型トロイの木馬が継続的に増加しているという傾向である。これは、Apple製品の市場シェアの拡大と、Appleユーザーの経済状況が、オンライン詐欺にとって特に魅力的な標的となっていることが要因となっている。
Appleの対応とmacOSの自動保護の限界
Jamf Threat Labsをはじめとするセキュリティ企業からの警告を受け、AppleはMacSync Stealerキャンペーンで使用されたチームIDに関連付けられたコード署名証明書を失効させました。この措置により、オペレーティングシステムは当該識別子で署名されたアプリケーションを信頼しなくなり、マルウェアの配布にこの識別子を使用しようとする新規ビルドをブロックします。
同時に、同社はXProtectやGatekeeperといった内部保護メカニズムを、新たな検出ルールや既知のハッシュ値および署名リストで更新しました。macOSの最新バージョンでは、これらのブラックリストはユーザーの操作なしに頻繁に更新されるため、システムを最新の状態に保ち、利用可能なアップデートを適用して、これらのパッチや改善点の恩恵を受けることが非常に重要です。
とはいえ、専門家たちは、MacSync Stealerの事例はmacOSマルウェアの一般的な傾向を示していると主張する。攻撃者は、署名と公証済みの実行ファイルに自らのコードを埋め込み、あたかも完全に正当で信頼できるアプリケーションであるかのように見せかけようとする傾向が強まっているのだ。もし攻撃が成功すれば、ユーザーが明確な警告を受け取る可能性は著しく低下する。
Jamfをはじめとする複数の企業の報告によると、Appleが侵害された証明書を失効させたとしても、サイバー犯罪者は新たな開発者IDを登録し、細かな部分を調整して新たに追加されたルールを回避するという同じ手口を繰り返す可能性がある。このようないたちごっこを繰り広げるには、macOSのネイティブな防御機能に加えて、さらに保護層を追加する必要がある。
この状況は、セキュリティが自動化された保護機能だけに頼ることはできないという考えを裏付けています。Gatekeeper、XProtect、公証プロセスによってセキュリティレベルは大幅に向上しましたが、MacSync Stealerのような攻撃は、誰かが検証プロセスをすり抜けてアプリを操作した場合、信頼メカニズムがユーザーに対して悪用される可能性があることを示しています。
スペインとヨーロッパのMacユーザーへの影響と保護のベストプラクティス
スペインをはじめとするヨーロッパ各地のオフィス、大学、家庭におけるMacの普及拡大は、犯罪組織にとってMacの魅力を高めている。もはやニッチなプラットフォームではなく、ますます多くの組織がmacOSをインフラに統合しており、MacSync Stealerのような脅威は、この地域にとって深刻な問題となっている。
専門家は、技術的な対策と日々の習慣の両方を強化することを推奨しています。まず、一見単純ながらも重要な対策として、macOSとアプリケーションを常に最新の状態に保ち、定期的にバックアップを実行することが挙げられます。Appleは、こうした脅威に対して頻繁に新しいシグネチャやブロックルールを導入しているためです。セキュリティアップデートを無視すると、既に報告されパッチが適用されている亜種に対しても、脆弱性が残ってしまう可能性があります。
また、ソフトウェアのインストールはMac App Storeまたは信頼できる開発元からのみ行うことが重要であることも強調されています。インストーラーに署名や公証の記載があっても、この事例が示すように、その表示はもはや絶対的なセキュリティの保証にはなりません。メール、メッセージ、または信頼できないウェブサイト経由で受け取ったリンクからアプリをダウンロードすると、感染のリスクが大幅に高まります。
もう一つの重要な点は、各アプリケーションが要求する権限に注意を払うことです。キーチェーン、ユーザー文書、ブラウザ履歴、アクセシビリティ機能へのアクセス権限は、特に出所が疑わしい無料ユーティリティを扱う場合は、慎重に付与する必要があります。多くの感染は、ユーザーが確認せずに受け入れた過剰な権限に大きく依存しています。
プロフェッショナルな環境、特に欧州連合（EU）域内では、Appleのセキュリティ対策に加えて、macOS専用のセキュリティソリューション、EDRツール、明確なソフトウェアのダウンロードおよびインストールポリシーを導入することが推奨されます。これらの対策は、データ保護規制の対象となる企業にとって特に重要です。認証情報の盗難やデータ漏洩が発生した場合、罰則や信頼の失墜につながる可能性があるからです。
MacSync Stealerを取り巻く状況は、 Macマルウェアがいかに蔓延しているかを如実に物語っています。攻撃者は署名と公証済みの実行ファイルを利用し、偽のファイルでディスクイメージを膨張させ、リモートサーバーから第2段階のペイロードをダウンロードし、データを盗み出し、コンピュータをリモートで制御できるエージェントを展開します。このような状況下では、「Macはウイルスフリー」という古い考え方は完全に時代遅れであり、今や保護対策は、Appleのネイティブな防御機能と適切な使用習慣、そして常に警戒を怠らないことを組み合わせることで、私たち自身のコンピュータが脅威の鎖の弱点とならないようにすることにかかっています。