OWN NEWS GATHER
← 戻る
The Hacker News

macOSを狙う新種マルウェア「AmnesiaStealer」が判明、ブラウザセッションの遠隔操作やキーチェーン情報を窃取

要点

  • macOSを標的とし、プログラミング言語Rustで構築された多段階型の情報窃取マルウェア「AmnesiaStealer」が確認された。

  • 攻撃者は偽のGitHubページからターミナルへコマンドを入力させる「ClickFix」の手法を用いて侵入を図る。

  • 偽のインストーラー画面でシステムパスワードを詐取・検証し、キーチェーンやブラウザデータ、各種文書ファイルを広範に収集する。

  • 感染後は「Chrome DevTools Protocol（CDP）」を悪用し、Chromium系ブラウザを隠蔽した状態で対話的に遠隔操作するモジュールを展開する。

  • セキュリティ研究機関のJamf Threat Labsは2026年8月、macOSを標的としたRustベースの新型情報窃取マルウェア（インフォスティーラー）「AmnesiaStealer」の詳細を公表した。このマルウェアは、偽の配布サイトから利用者にターミナル操作を誘導して感染を広げ、端末内の機密データを盗み出すだけでなく、Chromium系ブラウザをバックグラウンドで対話的に遠隔操作する機能を備えているという。

ターミナル操作を誘導する「ClickFix」による感染手口

AmnesiaStealerの配布には、検証済みの発行元を装った「Download for macOS」という偽のGitHubダウンロードページが悪用されている。このページでは、ブラウザ上で発生したエラーの修復などを装って利用者にコマンド実行を促す「ClickFix」と呼ばれる手口が採用されている。画面上では、Base64形式でエンコードされたコマンドをmacOS標準の「ターミナル」アプリにコピー＆ペーストするよう指示される。

このコマンドを実行すると、外部サーバーからドロッパー（後続の不正プログラムを呼び込むスクリプト）がダウンロードされ、多段階の攻撃プロセスが開始される。Jamf Threat Labsのセキュリティ研究者であるThijs Xhaflaire氏によると、全体の攻撃チェーンは大きく3つの段階で構成されているという。

第1段階はペイロードの取得と起動を担うシェルスクリプトで、パスワード付きのZIPアーカイブを取得・展開した後に自身を削除する。第2段階では、展開されたMach-O形式のRust製バイナリが実行され、各種認証情報や個人データの収集を行う。そして第3段階として、指令サーバー（C2サーバー）からの指示に応じて追加モジュールが取得され、被害者のブラウザを操作する仕組みとなっている。

システムパスワードの詐取と認証検証ループ

本マルウェアの大きな特徴の一つが、端末のシステムパスワードを確実に詐取する機構である。第2段階のRustペイロードが実行されると、インストーラーを装った正規風のダイアログを表示してパスワードの入力を求める。入力されたパスワードは、macOSのディレクトリサービス管理コマンド（dscl）を用いてローカルで即座に検証され、正しいパスワードであるかどうかが照合される。

もし誤ったパスワードが入力された場合は、「Incorrect password. Please try again.」というエラーメッセージを伴うダイアログが繰り返し表示され、正しいパスワードが入力されるまでループ処理が続く。なお、ネイティブのプロンプト表示が失敗した場合には、一時ディレクトリにスクリプト（/tmp/tempAppleScript.scpt）を生成してosascriptコマンド経由で表示するフォールバック処理も組み込まれている。

詐取されたパスワードは、その後の攻撃チェーン全体で再利用される。管理者権限でのファイル読み取り（sudo -S）やキーチェーンのロック解除（security unlock-keychain）に渡されるほか、平文のテキストとしてステージングディレクトリ内の「pwd」ファイルおよびユーザーのホームディレクトリ直下の「~/.pwd」に書き出される。このパスワード窃取と再利用の挙動は、欧州や北米、中東、アフリカなどで確認されている「ClickLock Stealer」と呼ばれる別のmacOS向けマルウェアとも共通していると報告されている。

16種のブラウザやアプリを狙う広範な情報窃取

AmnesiaStealerは、感染端末から多岐にわたる機密情報を収集する。実行時にはまずAppleScriptを用いてシステム音声を消音（ミュート）し、ユーザーに気づかれないよう隠蔽工作を図りながらデータ収集を進める。

収集対象は以下の通り多岐にわたる。

  • ウェブブラウザ: Google Chrome、Brave、Arc、Microsoft Edgeなど16種類のChromium系ブラウザから、Cookie、ログインデータ、Web Data、閲覧履歴、ブックマーク、Local State、環境設定、拡張機能ディレクトリを抽出する。さらに、キーチェーンから「Chrome Safe Storage」のパスワードを読み出し、ブラウザプロファイル内の暗号化データを復号するためのマスターキーを復元する。
  • Safari: macOSのバージョンに応じた手法でCookieを窃取する。macOS Catalina環境ではTCC（透明性と同意・制御）のバイパス脆弱性（CVE-2020-9771）が悪用される。この手法はmacOS 26でも機能するものの、フルディスクアクセス権限が必要とされ、今回の検体単体では権限不足により動作しないという。
  • ローカルデータとアプリ: Apple Notes（メモアプリ）のデータ、Telegramのセッション情報、iCloudキーチェーンの情報を収集する。また、デスクトップ（~/Desktop）、書類（~/Documents）、ダウンロード（~/Download）の各フォルダを走査し、特定の拡張子（.txt、.pdf、.rtf、.doc、.wallet、.key、.jpg、.png、.csv）を持つファイルを網羅的に回収する。

収集されたデータは、一時ディレクトリ（/tmp）配下に25文字のランダムな英数字で生成されたフォルダへ一時的に集約された後、アーカイブ化されて外部のC2サーバーへと送信される。

ブラウザ開発プロトコルを悪用した対話的な遠隔操作

AmnesiaStealerが持つ独自の機能が、ブラウザの遠隔操作モジュール（stream_module）である。C2サーバーから「remote_stream」という指令が送信されると、第1段階のペイロードが同じ配信インフラから第2のRustバイナリを取得・実行する。

このモジュールは、ブラウザのデバッグや自動テストに用いられる「Chrome DevTools Protocol（CDP）」を悪用する。これにより、攻撃者は被害者の画面上に不審な挙動を見せることなく、隠蔽された状態でChromium系ブラウザを対話的にリアルタイム遠隔操作できるようになる。遠隔操作に対応しているブラウザとしては、Chrome、Brave、Microsoft Edge、Arcなど主要な7種類のChromium系ブラウザが挙げられている。

暗号資産の横取りとAppleサービス偽装による永続化

本マルウェアには、暗号資産（仮想通貨）の送金先をすり替えるクリッパー機能も備わっている。バイナリ内の設定項目（CLIPPER_ENABLED）により有効・無効を切り替えることが可能で、ビットコイン（BTC）、イーサリアム（ETH）、ソラナ（SOL）、リップル（XRP）、トロン（TRON）、ライトコイン（LTC）、モネロ（XMR）、ビットコインキャッシュ（BCH）、コスモス（ATOM）など、主要な暗号資産アドレスの送金を監視・改ざんする。また、C2のエンドポイント（debug.allllowef[.]space/send/ など）の設定情報は暗号化された状態でバイナリ内に埋め込まれており、ソースコードを変更することなくビルドレベルで差し替えられる設計になっている。

さらに、端末の再起動後も攻撃を継続できるよう、永続化の仕組みも組み込まれている。Appleの公式クラッシュレポートサービスに偽装したroot権限のLaunchDaemon（システム起動時に自動実行される常駐プロセス）を登録することで、システム内に潜伏し続けるという。

元URL