北朝鮮関連ハッカー集団、macOSの偽アップデートで仮想通貨を狙う新手法――検索広告からターミナル実行へ誘導

要点

• 北朝鮮関連ハッカー集団が、macOSユーザーを標的に偽アップデートで感染させる攻撃を展開。

• 検索広告から偽サイトへ誘導し、全画面の偽アップデート画面でユーザーのパニックを誘う。

• クリップボードにコピーした攻撃コマンドを、ユーザー自身に「ターミナル」で実行させる「ClickFix」手法を使用。

• イーサリアムのスマートコントラクトを悪用して指令サーバーを特定し、検出や停止を回避。

• 157種類の仮想通貨ウォレットやアクセスキーの情報窃取と、ブラウザ拡張機能による資金強奪が目的。

• セキュリティ企業AllSecureは、北朝鮮との関連が指摘されるハッカー集団が、macOSユーザーを標的とした高度なサイバー攻撃を展開していると報告した。検索広告から偽サイトへ誘導した上でシステムアップデートを装い、仮想通貨（暗号資産）を盗み出すマルウェアをインストールさせる手口である。この攻撃は長期的に続く「Contagious Interview」キャンペーンの新たなバリエーションで、2026年7月30日に海外メディア「The Hacker News」などが報じた。

検索広告から始まる新たな感染経路

従来のキャンペーンでは偽の求人提示やビデオ面接が起点となっていたが、今回は日常的なウェブ検索が起点となる点が異なる。AllSecureの事例では、被害者が電気泳動装置（物質を分離・分析するための実験器具）のメーカーを検索し、表示されたスポンサー広告をクリックした直後に偽ウェブページへとリダイレクトされ、感染プロセスが開始された。

恐怖をあおる「ClickFix」手法とクリップボードの悪用

誘導先の偽サイトでは、全画面でシステムアップデート中のような画面が表示される。OS（コンピュータを動かす基本ソフトウェア）がフリーズしたとユーザーに誤認させ、焦りから指示に従わせる狙いがある。

偽画面の表示中、裏側でユーザーのクリップボード（コピーしたデータを一時保存する領域）へ攻撃用コマンドが自動コピーされる。進行バーの完了後、「エラー解決のため」としてmacOS標準の「ターミナル（コマンドを入力して操作するツール）」を開き、コマンドを貼り付けて実行するよう求める。ユーザー自身にコマンドを実行させるこの手法は「ClickFix（クリックフィックス）」と呼ばれる。この動作は一度限りの有効なトリガーとなるよう設計されており、再現は困難だという。

スマートコントラクトを悪用する「EtherHiding」

ユーザーがターミナルでコマンドを実行すると、Node.jsで書かれたバックドア（侵入後に遠隔操作を可能にするプログラム）がダウンロードされる。このバックドアは、OS起動時に自動実行されるようLaunchAgent（プログラムの自動起動を管理する仕組み）を設定して潜伏する。

特徴的なのは、指令サーバー（C2サーバー：乗っ取ったコンピュータを制御するために攻撃者が設置するサーバー）との接続情報を、イーサリアムのスマートコントラクト（ブロックチェーン上で契約を自動実行するプログラム）から取得する点だ。「EtherHiding（エーテルハイディング）」と呼ばれるこの手法は、ブロックチェーンの改ざん不可能な性質を利用するため、サーバーの閉鎖に対して強い耐性を持つ。バックドアは5分ごとに指令サーバーと通信し、送られてきたコードを実行してリモート操作を可能にする。

多岐にわたる情報窃取とブラウザの改ざん

最終目的は被害者から資金やアクセス権限を奪うことだ。通信経路を介して2つの不正プログラムがダウンロードされる。

1つ目は、157種類の仮想通貨ウォレットを標的としたインフォスティーラー（情報を盗み出すマルウェア）だ。ブラウザに保存されたデータのほか、SSHキー、AWSやAzureのキー、npmキーなどのアクセス権限を収集して攻撃者に送信する。

2つ目は、「Google Drive Offline」という偽のブラウザ拡張機能だ。これはChromeの設定ファイルを強制的に書き換えて「サイドロード（正規ストアを経由せずに拡張機能を読み込ませる手法）」され、ユーザーのウォレットから資金を不正送金して使い果たす機能を持つ。

攻撃インフラの「工業化」

調査では、スマートコントラクト内に2つの指令サーバー解決用アドレスが確認された。これらを作成した使い捨てウォレットは、約0.0126 ETHをチャージし、契約をデプロイして設定を書き込み、残金を送金して破棄するという共通の4ステップで運用されていた。このパターンは、攻撃者がインフラ構築を工業化（自動化・量産化）していることを示唆している。

バックドアと拡張機能の資金源が同一のウォレットグループであることから、AllSecureは一連の攻撃が同一のハッカー集団によるものであると結論づけている。