初めて Apple Silicon M1 マルウェアが実環境で発見される

ネイティブの最初のマルウェアアップルシリコンM1 Mac は、独立したセキュリティ研究者である Patrick Wardle によって発見されました。

元NSA研究員のパトリック・ウォードル氏は、最近褒められたApple のセキュリティのためM1しかし、それでもハッカーがそのプロセッサ用にマルウェアを再コンパイルした証拠が発見されました。

Wardle は、長年存在する Pirrit アドウェアの M1 ネイティブ バージョンである GoSearch22.app の存在を発見しました。このバージョンは、広告を表示し、ユーザーのブラウザからデータを収集することを目的としていたようです。

「本日、悪意のある敵対者が実際にマルチアーキテクチャ アプリケーションを作成しており、そのコードが M1 システム上でネイティブに実行されることを確認しました」と Wardle 氏は記事で述べています。ブログ投稿。 「悪意のある GoSearch22 アプリケーションは、このようなネイティブ M1 互換コードの最初の例となる可能性があります。」

「このようなアプリケーションの作成は、主に 2 つの理由から注目に値します」と彼は続けます。 「まず（当然のことですが）、これは悪意のあるコードがクパチーノから出てくるハードウェアとソフトウェアの両方の変更に直接反応して進化し続けていることを示しています。」

「ネイティブ arm64 バイナリをネイティブに配布することには無数の利点があるのに、なぜマルウェア作成者が抵抗するのでしょうか?」彼は続けます。 「第二に、より憂慮すべきことは、（静的）分析ツールやウイルス対策エンジンが（これを検出するのに）苦労する可能性があることです。」

Wardle 氏によると、Intel バージョンの Pirrit を検出できる現在のウイルス対策システムの多くは、Apple Silicon M1 バージョンを識別できなかったという。

Apple は現在、開発者の証明書を無効にし、実行できないようにしました。ワードル氏は、これは、その配布に関してもはや答えることができない特定の問題があることを意味すると述べています。

「不明なのは、Appleがコードを公証したかどうかだ」とウォードル氏は指摘した。これは、開発者がコードをAppleに提出したのか、それとも会社のセキュリティを回避しようとしていたのかを意味するということだ。 「Apple が証明書を取り消しているため、この質問には答えることができません。」

「私たちが知っているのは、このバイナリが実際に検出されたため、公証されているかどうかに関係なく、macOS ユーザーが感染したということです」と彼は続けます。