Apple公証を悪用して検知を免れる新しいmacOS向け情報窃取マルウェア「CrashStealer」が発見される

要点

• Appleの正規署名と公証を取得したドロッパーを使い、macOSのセキュリティ機能を突破するマルウェアが発見されました。

• 感染すると偽のプロンプトでパスワードを要求し、ローカルで検証してキーチェーンのロックを解除します。

• ブラウザの認証情報、約80種の仮想通貨ウォレット、14種のパスワードマネージャーなどからデータを窃取します。

• 収集データは暗号化して外部へ送信され、プログラム自体にも強力な解析妨害技術が組み込まれています。

• リード文：

• 米セキュリティ企業Jamfの脅威研究部門「Jamf Threat Labs」は2026年7月13日、macOSを標的とした新しい情報窃取型マルウェア「CrashStealer」を発見したと報告しました。このマルウェアは、Appleの正規の「公証」を受けたドロッパーを使用することで、標準的な検知を回避して侵入します。侵入後は、キーチェーンのロック解除や、ブラウザ、暗号資産ウォレット、パスワードマネージャーなどから広範に機密データを窃取します。

• 本文セクション1：公証とGatekeeperをすり抜ける巧妙な侵入手法

• 「CrashStealer」は、「Werkbit.app」というディスクイメージ（DMG）ファイルとして配布されています。このイメージと実行バイナリは、Appleが安全性を事前検査する「公証（ノータリゼーション）」（悪意あるコードの有無をスキャンして検証する仕組み）をクリアしており、有効な開発者ID「Emil Grigorov (WWB7JA7AQV)」が紐付けられています。これにより、macOSの防御機能「Gatekeeper（ゲートキーパー）」（信頼されたソフトのみ実行を許可する仕組み）の警告を発生させずに実行されます。

• 配布元のドメイン「werkbit[.]io」は2026年6月に登録され、特定のアクセスコード（ミーティングPIN）を入力した訪問者にのみダウンロードを許可する制限がかけられていました。関連インフラの分析から、これは他OSも標的とする大規模なキャンペーンの一部と見られています。

• 本文セクション2：多段階にわたる感染プロセス

• マウントされたイメージ内のアプリを右クリックして「開く」を選択すると感染プロセスが始まります。

• まず実行ファイル「veltod」が起動し、GitHub上の特定リポジトリから取得した「sys.cache」ファイルのコマンドを用いてシェルスクリプトを実行します。これが「ドロッパー」（他のマルウェア本体をダウンロードするプログラム）として機能し、最終ペイロード「CrashReporter.dmg」を「/tmp」フォルダに引き込みます。

• 本文セクション3：パスワードのローカル検証と広範な情報窃取

• 実行されたマルウェア本体は、OS起動時に自動実行させる「LaunchAgent（ローンチエージェント）」（システム起動時に特定のプログラムを自動実行する設定）を行い、永続化を図ります。

• その後、偽のパスワード入力プロンプトを表示し、入力値をローカルで検証。正しいパスワードが得られると、ユーザーの資格情報を管理する「キーチェーン」（パスワードや機密情報を安全に保存するmacOSの管理システム）のロックを解除します。

• さらにシステム内のセキュリティツールをスキャンした上で、以下の機密情報を収集します。

• ブラウザ情報: ChromeやEdgeなどChromium系ブラウザの保存情報。

• 暗号資産ウォレット: MetaMaskなど約80種類の拡張機能データ。

• パスワードマネージャー: 1Passwordなど14種類のツールデータ。

• ローカルファイル: 「書類（~/Documents）」と「ダウンロード（~/Downloads）」フォルダ内の全ファイル。

• 収集されたデータはZIPに圧縮され、「AES-GCM」で暗号化された上で、通信ライブラリ「libcurl」を用いてC2サーバー（IP: 179.43.166[.]242）へ送信されます。

• 本文セクション4：難読化と解析妨害に特化した設計

• Jamfのセキュリティ研究者Thijs Xhaflaire氏によると、多くのmacOS向けスティーラーがAppleScriptやObjective-Cで書かれたラッパーであるのに対し、CrashStealerはネイティブC++で記述されています。

• また、プログラムの実行経路を複雑にする「コントロールフローの平坦化」（プログラムの構造を複雑にして解析しにくくする難読化手法）や、コード内の文字列暗号化、開発者向け解析ツールを検知する「多層アンチデバッグ」（デバッグツールによる監視を検知して自らの動作を停止する機能）といった解析妨害技術が組み込まれており、アナリストによる挙動分析を困難にしています。

• 補足：

• Jamfは、一般的なスティーラーとの違いはその収集対象ではなく、暗号化や難読化といった実装技術の高さにあると評価しています。配信チェーンにも細心の注意が払されており、署名・公証済みのドロッパーをフロントに立ててGatekeeperをクリアした上で、静かにペイロードを取得し、再署名して実行する点に攻撃者の周到さが見られます。