macOSを狙う「ClickFix」攻撃が活発化、認証情報の窃取に加え暗号資産ウォレットから徐々に資金を奪う機能も判明

要点

• 被害者に特定のコマンドを実行させる「ClickFix」攻撃により、macOS向けの情報窃取マルウェアが拡散しています。

• マルウェアはブラウザの保存パスワードやiCloudキーチェーンデータ、各種認証情報を窃取します。

• 暗号資産ウォレットから全額を一括で盗むのではなく、残高の1%などを段階的に送金して流出させる独自の機能を備えています。

• 配信や指令用サーバーには、米国などから制裁を受けているロシアの防弾ホスティング事業者「Aeza Group」のインフラが利用されています。

• 最近ではWebAssemblyや正規のシステムファイルを悪用した、複数のClickFixの亜種も報告されています。

• リード文：

• セキュリティ企業の米Huntressなどは2026年8月7日、macOSユーザーを標的とし、暗号資産やシステム情報を盗み出す新手の情報窃取マルウェア（インフォスティーラー）を配布するキャンペーンを確認したと発表しました。この攻撃は、ブラウザのエラー画面などを偽装してユーザー自身に不正なコマンドを実行させる「ClickFix」と呼ばれる手法を用いています。今回のマルウェアには、ウォレットの残高の一部を段階的に窃取する珍しい機能が備わっている点が特徴です。

• 本文：

• 今回のmacOSを対象とした攻撃は、ユーザーが指示に従って特定のコマンドをコピーし、macOSの「ターミナル（Terminal：コマンドを入力してシステム操作を行う標準アプリ）」アプリへ貼り付けて実行することから始まります。これにより、被害端末のシステム情報を分析する「Bashプロファイラ」というプログラムが起動します。このプログラムは被害端末のCPUアーキテクチャ（プロセッサの基本構造）を判別し、それぞれの環境に適した「Mach-O（macOSの実行プログラム形式）」のペイロード（悪意あるファイル本体）を自動でダウンロードして実行します。

• ペイロードはGo言語製のスティーラーで、ブラウザ内のパスワードや「iCloudキーチェーン（Keychain）」データ、キャッシュされた認証情報を収集し、指令サーバー（C2サーバー）へ送信します。また、マルウェアはシステムの破損修復を装った偽のエラー表示を通じて、被害者にシステムパスワードを入力させて管理者権限（特権）を昇格させる挙動も見せています。

• このマルウェアで特に注目されているのが、暗号資産ウォレットを標的とした「DRAIN（ドレイン）」機能の搭載です。この機能は、被害者のデバイスに存在する仮想通貨ウォレットをスキャンして資金が残っているかをチェックします。資金が存在する場合、あらかじめ設定された攻撃者のウォレットへとその資金を転送（送金）します。

• マルウェア内には、ビットコイン（Bitcoin）やイーサリアム（Ethereum）など、主要な暗号資産に対応した個別の関数が組み込まれていました。セキュリティ研究者の分析によると、ウォレットの全額を一度に持ち去るのではなく、残高の「1%」に相当する価値を個別に計算し、部分的に資金を吸い出す機能を備えたマルウェアが確認されたのは今回が初めてだということです。この機能により、被害者に気づかれにくい形で徐々にアカウントの残高を枯渇させることが可能になります。

• インフラ分析により、悪意あるペイロードを配信するホストサーバーや指令サーバーは、すべてロシアの「Aeza Group」のインフラに結びついていることが判明しました。同グループは、違法なサイバー活動を意図的に保護する「防弾ホスティング（法執行機関の追及を無視してサービスを提供する事業者）」として知られており、すでに米国、英国、オーストラリアから制裁措置の対象に指定されています。

• また、ここ数週間において、他にも様々なClickFix攻撃の動きが報告されています。

• 例えば、macOS向けキャンペーンでは、本物そっくりの模倣ドメインに加え、サーバー側でブラウザ情報やハードウェアの検証を行い、自動解析ツールを排除して正規のmacOS環境のみに標的を絞る仕組みが導入されています。

• Windowsを狙う亜種では、正規システムファイルである「プログラム互換性アシスタント（pcalua.exe）」を悪用して挙動検知をすり抜け、外部から悪意あるDLL（実行に必要なプログラムの一部を共有するライブラリ）ファイルをロードさせてインフォスティーラーを実行させます。

• さらに、ネットワーク監視を逃れるため、WebAssembly（ブラウザ上で動作するバイナリファイル形式）とステガノグラフィー（画像の中に他のデータを隠す技術）を組み合わせ、改ざんされたサイト上に偽の検証ページを差し込んでコマンド入力を促す手口も報告されています。