イラン発の新たな Mac マルウェア、偽の Flash アップデートで米国の防衛産業と人権活動家を狙う

セキュリティ研究者らは、「MacDownloader」と呼ばれるmacOS用の新たなマルウェアを発見した。このマルウェアは、米国の防衛産業に関わる個人や企業を攻撃する目的でイランのハッカーによって作成されたものと考えられている。

イランに起因するオンライン脅威を分析する研究者のクラウディオ・グアルニエリ氏とコリン・アンダーソン氏は、マルウェアを発見した米国の航空宇宙企業「United Technologies Corporation」になりすましたサイトで。このサイトでは、ロッキード・マーチン社、シエラネバダ社、ボーイング社に言及しており、潜在的な防衛目標を誘致する目的で「特別プログラムとコース」を提供していると主張していた。

この偽サイトは以前、Windows マルウェアを被害者のシステムに拡散しようとする以前のスピアフィッシングの試みの一環として使用されていました。このホストは「イランの攻撃者によって管理されている」と考えられており、歯科医院の偽サイトや攻撃用に作成された米空軍の訓練ページなど、他のフィッシング行為にも使用されている。

現在の偽サイトの訪問者には、検出されたオペレーティング システムに応じて、Windows または macOS のいずれかのマルウェアが提供されます。 MacDownloader の場合、偽の Adob​​e Flash Player ダイアログが作成され、Flash Player を更新するかウィンドウを閉じるよう求められます。

アップデートを受け入れると、「Bitdefender のアドウェア削除ツール」であることを主張し、アドウェアの検索を提案する 2 番目のダイアログが表示されます。研究者らは、MacDownloader はもともと偽のウイルス除去ツールとして設計されたが、別のソーシャル エンジニアリングの取り組みの一環として偽の Flash Player アップデートとして再パッケージ化されたと示唆しています。

マルウェアがインストールされると、感染した Mac からデータを収集しようとし、ユーザーのキーチェーンなどを攻撃者のサーバーに送信します。このマルウェアは、偽のシステム環境設定ダイアログを表示してユーザー名とパスワードを取得するよう促し、そのユーザー名とパスワードを使用して暗号化されたキーチェーン データにアクセスすることもできます。

研究者らは、このコードはハッカーらによる「開発が不十分」であり、「アマチュア開発者による最初の試み」である可能性が高いと指摘している。スペルと文法の問題、ダイアログ ボックスでの Flash から Bitdefender への変更は別として、マルウェアの背後にあるコードは、単純なコードの「チートシート」のコードの使用など、他のソースからコピーされたものであると主張されています。リモートファイルをダウンロードするタスク。

このコードは、開発者が当初、起動時に自動的に実行され、ファイルをダウンロードし、新しいコマンドを実行できる永続プロセスをインストールすることを意図していたことも明らかにしています。 「実装が不十分なシェル スクリプト」はマルウェアによって使用されず、代わりに Apple のコア サービス フレームワークを使用したリモート サーバー呼び出しが行われます。

「インフラストラクチャとコードの状態に関する観察に基づいて、これらのインシデントはエージェントを導入する最初の試みを示しており、永続化などの機能は機能していないようだと考えられます」と研究者らは書いている。 「その代わり、MacDownloader は、より広範な野心を持った単純なデータ流出エージェントです。」

このマルウェアは米国の防衛産業を標的とする以外に、人権活動家への攻撃にも使用されたと報告されており、将来的には国家支援のハッカーが関心を持つ可能性のある他のコミュニティへの攻撃にもマルウェアが使用される可能性があることを示唆している。

Windows はマルウェア攻撃の主な標的と考えられていますが、企業や個人による使用率が高いため、人権やセキュリティに関わるコミュニティでは代わりに Apple デバイスを使用する傾向があると研究者らは指摘しています。逸話として、研究者らは、イランでの活動に焦点を当てたこれらのコミュニティは「Apple デバイスに強く依存している」と主張している。

Windows に比べて少数派プラットフォームとしての Mac のステータスは、ある程度の保護を提供します攻撃からただし、そのような取り組みを阻止するためにさらに多くのことが行われています。 Google や他のテクノロジー企業からヒントを得て、Apple はバグ報奨金プログラム昨年は、同社のオペレーティング システムの弱点を発見した人に報奨金を提供しました。