メインコンテンツへスキップ
デスクトップ用特集画像：CTIブログ 3
新たな課題

CTIニュースまとめ：AMOS、TAG-150、GPUGate

AMOS Stealerの攻撃キャンペーンがmacOSを標的としており、TAG-150は新たなCastleRATマルウェアを展開しており、GPUGateは西ヨーロッパのIT企業を標的としています。

今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、クラックされたソフトウェアを利用して「Atomic macOS Stealer（AMOS）」を拡散させるマルウェアキャンペーンについて調査を行っています。 次に、チームはTAG-150について調査します。TAG-150は、高度なフィッシング攻撃やリモートアクセス攻撃において、独自に作成されたマルウェアを展開している、急速に進化を続ける脅威アクターです。 最後に、西ヨーロッパのIT企業を標的としている「GPUGate」マルウェア・キャンペーンの概要についてまとめます。

AMOS Stealerの攻撃キャンペーンがmacOSを標的としています

トレンドマイクロは先ごろ、 を分析しました。これは、クラックされたソフトウェアを利用してAMOSを拡散させ、認証情報、暗号資産ウォレット、システムファイルなどの機密性の高いユーザーデータを盗み出すマルウェアキャンペーンです。

トレンドマイクロによると、攻撃者は、偽装されたmacOSターミナルコマンドやローテーションドメインを用いて、セキュリティ対策を回避し、感染したシステム上で持続性を維持しているとのことです。

AMOSキャンペーンの概要

このキャンペーンでは、攻撃者が偽の、あるいは「クラック版」のアプリケーションを用いて、macOSユーザーを標的にしています。 被害者は、目的のアプリケーションのインストーラーをダウンロードするよう騙され、そのインストーラーを通じてAMOSマルウェアが仕込まれます。

場合によっては、ユーザーに対し、マルウェアを起動させるために、コマンドをコピーしてターミナルに直接貼り付けるよう求められていることがあります。 トレンドマイクロは、これらの攻撃者が、検出を回避するために、アクセスするたびにドメインやダウンロードコマンドが変更されるよう、URLやドメインをローテーションさせていることを指摘しています。

AMOSの感染経路と配布方法

  • 攻撃者は、偽のアプリケーションのダウンロードを通じてシステムへのアクセス権を取得し、最終的に被害者をAMOSのランディングページへと誘導します。
  • 被害者には、「macOS用をダウンロード」というオプション、またはコマンドを実行するよう指示が表示されます。 いずれの場合も、悪意のあるインストールスクリプトが実行されてしまいます。
  • このスクリプトは、AppleScript ファイルをダウンロードし、ユーザーがログインするまでそのスクリプトを継続的に実行するように LaunchDaemon を設定します。
  • ユーザーがログインすると、隠されたバイナリが実行され、永続性が確立されます。 このスクリプトは、ユーザー名やパスワード、ブラウザのデータ、キーチェーンのデータなど、さまざまなデータを収集し、それらをZIPファイルに圧縮して外部へ持ち出します。

[最新の脆弱性管理が、混沌を秩序へと変える仕組みをご覧ください。脅威がビジネス上の問題となる前に、組織を守る方法を学びましょう]

MDRからの知見

トレンドマイクロのマネージド・ディテクション・アンド・レスポンス（MDR）チームは、不審なプロセス活動、認証情報の窃取、およびデータの持ち出しに至る一連の事象を確認しました。 これにより、より徹底した調査が可能となりました。

彼らが最初に検知したアラートは、ウェブブラウザからのログインデータの抽出を捉えたもので、認証情報を保存しているChromeの「Login Data」SQLiteファイルがコピーされていました。 2件目の警告は、一般的なブラウザから、ブラウザの認証情報やファイルなどのデータを盗み出すスクリプトに関するものでした。 また、これによりシステムプロファイラの情報も収集されました。

初回アクセス

トレンドマイクロの調査によると、AMOSはクラック版ソフトウェアのダウンロードとして端末に侵入したものと判明しました。これは、被害を受けたユーザーの多くが、macOS専用のさまざまな偽のソフトウェアアプリケーションをホストしている同じサイトに複数回アクセスしていたためです。

影響を受けたユーザーは、各自の端末で「CleanMyMac」を検索し、ダウンロードしていました。 ダウンロードボタンをクリックすると、ユーザーはAMOSのランディングページに遷移しました。 クリックすると、ユーザーは別のページにリダイレクトされましたが、リダイレクト先は、コマンドに埋め込まれたURLと同様に、アクセスするたびに変化します。

[シャドウITは単なる厄介事にとどまらず、しばしば脅威の入り口となります。事態が手に負えなくなる前に、その見分け方と管理方法を学びましょう]

被害者がAMOSをインストールする方法

被害者がAMOSをインストールするには、2つの方法があります。 1つ目の方法は、ダウンロードボタンをクリックすることです。これにより、.dmgファイルとインストール手順が表示されます。 もう一つの手口は、被害者に悪意のあるコマンドをコピー、貼り付け、実行するよう促すものです。

  1. 最初の方法では、「 Installer_v.2.13.dmg」がダウンロードされ、バージョン番号が変更されます。 このファイルには、被害者が右クリックしてファイルを開くよう指示する内容が表示されています。 トレンドマイクロによると、このケースでは、実行されていたmacOSのバージョンが原因でGatekeeperが作動し、マルウェアが侵害を完了する前にブロックされたとのことです。
  2. 2つ目の手法である「 」は、成功率が高く、被害者にコマンドを直接実行するよう要求します。 これを実行すると、ホストにAMOSがインストールされます。 その後、被害者には「システム環境設定」のダイアログが表示され、正しいパスワードが入力されるまで、繰り返しパスワードの入力を求められます。 その後、別のスクリプトが、仮想化環境で実行されているかどうかを確認し、実行されている場合は終了します。 これらの確認作業の後、マルウェアはデータを外部へ流出させ、システムへの定着を図り、ターミナルウィンドウを非表示にし、システムファイルやアプリケーションを改ざんします。

Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント

クラック版ソフトウェアが感染経路として利用される事実は、脅威アクターがしばしば「利便性」を悪用することを改めて示しており、組織としては、不正なソフトウェアリポジトリへのアクセスを監視・制限することが不可欠です。

AMOSマルウェアの幅広いデータ窃取機能（ ） は、macOSを標的としたマルウェアにおける増加傾向を反映しています。 さらに、攻撃者がローテーションドメインや難読化されたスクリプトを使用していることは、高い運用上の機動性を示しており、従来のシグネチャベースの検知では不十分であることを示唆するとともに、行動ベースの脅威検知の重要性を浮き彫りにしています。

[AIを活用した行動ベースの防御機能により、リアルタイムで状況に適応することで、高度なエンドポイント保護が、変化の激しい脅威にいかに先手を打つことができるかをご覧ください]

TAG-150は、新しいCastleRATマルウェアを展開しています

Recorded Futureが最近発表したレポート（ ）では、急速に進化を続けている脅威アクター「TAG-150」について詳しく解説されています。 この攻撃者は、洗練されたフィッシング攻撃やリモートアクセス攻撃を実行するために、多層的なインフラストラクチャと、新たに発見された「CastleRAT」を含む一連の特注マルウェアを開発しました。

Record Futureの説明によると、同社のキャンペーンは、欺瞞的な戦術や幅広いツールセットを活用して被害者を標的にしつつ、世間の注目や防御策に積極的に適応しているとのことです。

TAG-150とはどのようなものですか？

Recorded Futureでは、「CastleLoader、CastleBot、そして最近ではCastleRATといったマルウェアファミリーの開発および使用」に関与しているアクターを指す際、TAG-150というコードを使用しています。

Recorded Futureは、 2025年3月以降、TAG-150を監視し続けています。 同グループの調査によると、感染の多くは、 のような「ClickFix」スタイルの攻撃 や、正規のアプリケーションを装った偽のGitHubリポジトリから始まっているとのことです。 このグループは、マルウェア・アズ・ア・サービス（MaaS）モデルを採用し、さまざまな第2段階のペイロードを配信しているとみられています。

TAG-150 インフラストラクチャ分析

Recorded Futureは、この攻撃者の多層的なインフラストラクチャの詳細を明らかにしました：

  • ティア1： ティア1のインフラストラクチャには、CastleLoaderやCastleRATなど、さまざまなマルウェアファミリー向けの C2 台のサーバーが複数含まれています。 これらのサーバーは、Tier 2 サーバーを通じて管理されています。
  • Tier 2： Tier 2 は、「被害者を対象とするTier 1サーバーとTier 3 インフラストラクチャとの間の仲介役」として機能すると考えられているVPSサーバーで構成されています。 この攻撃者は、Tier 1サーバーに接続する前に、RDPを介してこれらのサーバーにアクセスすることが知られています。 Recorded Futureは、多くの事例において、この攻撃者がTier 2 を迂回し、Tier 3 のインフラからTier 1のサーバーに接続していることを確認しました。
  • Tier 3： Tier 3では、研究者らが、すべて同じTLS証明書を使用しているVPSサーバーを特定しました。そのうちの1台がハブとして機能している可能性が高いとされています。 また、彼らは、Tier 1およびTier 2の両方のサーバーと通信していたロシアの家庭用IPアドレスを特定しました。これは、別のオペレーターによる仕業である可能性があると彼らは考えています。
  • Tier 4： Tier 3 のメインサーバーは、Tier 4 にある予備サーバーと通信を行います。 この通信は、「数週間にわたる、ハイポート間での持続的なUDPセッション」を通じて行われました。

[TaniumとScreenMeetが、リモートサポートを安全で拡張性の高い強みに変え、エンドポイントを保護しながらITワークフローを効率化する方法をご覧ください]

CastleRATのPython版およびC版

CastleRATマルウェアには、Python版とC版の2種類があります。 どちらの亜種も、独自のバイナリプロトコルを使用し、位置情報APIにクエリを送信し、実行ファイルをダウンロードし、リモートシェル機能を提供します。

Recorded Futureによると、このマルウェアのC亜種には、キーロガー、クリッパー、スクリーンキャプチャ機能、ファイル操作機能、シェルコマンド機能などが備わっています。

Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント

TAG-150’s の運用上の機動力は、マルウェアの迅速なバージョンアップやインフラの適応に見られ、このグループが十分なリソースと技術力を兼ね備えていることを示唆しています。

多層的なインフラストラクチャやCastleRATのような特注マルウェアの活用は、汎用ツールから特注ソリューションへの移行を反映しており、このグループが成熟しつつあることを示唆している可能性があります。

GPUGateは西ヨーロッパのIT企業を標的としています

Arctic Wolf（）によると、GPUGateマルウェアキャンペーンでは、Google AdsやGitHubのコミットリンクを利用して、IT専門家を騙し、トロイの木馬化されたGitHub Desktopインストーラーをダウンロードさせようとしています。このインストーラーは、実際のGPUを搭載したシステムでのみ動作し、従来のサンドボックスによる検知を回避する仕組みになっています。

Arctic Wolfの分析からは、高度な回避手法も明らかになっています。 攻撃者たちはロシア語を母語としており、極めて選別的で目立たない手法を用いて西ヨーロッパを標的にしています。

英国を拠点とする組織に所属する専門家を含む、ITおよびセキュリティ分野の第一人者たちが、人材、プロセス、テクノロジーをどのように連携させ、安全かつ拡張性のある変革を推進しているのかを探ってみましょう

GPUGateの初期感染経路

この攻撃は、Googleの検索結果の上部に表示されるスポンサー付き広告を利用し、GitHub Desktopの正規サイトに見せかけたマルウェア広告から始まります。

その俳優は、正規のGitHubリポジトリにコミットを作成し、その後、READMEを改変して、悪意のあるダウンロードリンクを含めるようにしました。 Arctic Wolfによると、攻撃者は悪意のあるハッシュをページのURLに埋め込むことで、元のリポジトリと全く同じ外観のページを表示させつつ、READMEファイル内に悪意のあるリンクを含めることが可能であるとのことです。

そのページには正当なデータが表示されていますが、これはコミットが本物であるためであり、被害者がそれを悪意のあるものと見分けるのが難しくなっています。 「そのページが単一のコミットビューであることを示す唯一の目印は、ページ上部に表示される小さなバナーで、そこには、訪問者がリポジトリのデフォルトブランチではなく、特定のコミットを表示していることが明記されています。」 攻撃者はさらに一歩踏み込み、リンクにアンカーを追加することで、被害者をコミットページの下部にある悪意のあるコンテンツのある場所へと誘導します。

この悪意のあるダウンロードリンクは、被害者をGitHubから悪意のあるgitpage[.]appへと誘導します。

第2段階： GitHubDesktopSetup-x64.exe

このマルウェアは「 GitHubDesktopSetup-x64.exe」というファイル名でダウンロードされます。 このファイルは、本物のGitHub Desktopインストーラーと同じサイズになるよう、大容量になっています。

また、マルウェアの作成者は、ファイルの抽出を防ぐために、マルウェアのヘッダーを編集しました。 このMSIファイルには 171 個の実行ファイルが含まれており、そのほとんどは分析を困難にするための無害なファイルです。 しかし、Arctic Wolfによると、少なくとも1つは悪意のあるものだという指摘があります。

このマルウェアは、自身が設定したハードウェア要件を満たさないデバイスを除外するためのチェックを行います。 その一例として、デバイス名の長さを確認する方法があります。これは、仮想マシン（VM）のデバイス名は短かったり一般的なものだったりすることが多いのに対し、正規のGPUのデバイス名は通常、より長いものになるためです。

GPUGateの主な機能

Arctic Wolfは、GPUGateの特に注目すべき特徴のいくつかを挙げています：

  • 目立たないように実行するには、 と入力すると、PowerShell が特定のパラメーターを指定して起動し、ユーザーにウィンドウを表示せず、実行ポリシーをバイパスします。
  • 永続性を確保するため、 では、再起動時に実行されるスケジュールされたタスクが作成されます。
  • 防御回避のため、 を使用すると、Defender のマルウェア保存場所がスキャン対象から除外されるため、その悪意のあるコンポーネントが検出されなくなります。
  • C2（ ）については、複数の冗長なドメインとIPアドレスを使用しているため、そのうちの一つが停止しても、引き続き運用を継続することができます。

このマルウェアは、ローカルファイルシステムから機密データを収集し、外部へ流出させます。 Arctic Wolfは、GPUGateがランサムウェアを展開したり、バックアップファイルやシステムの復元オプションを削除したりする可能性があるとしています。

ITリスクとコンプライアンス戦略をしっかりと管理しましょう。今日の刻々と変化する脅威の状況を、自信と明確な方向性を持って乗り切るための究極のガイドをダウンロードしてください。

Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント

GPUGateは、復号化に実物のGPUを必要とすることで、環境を認識するマルウェアへの転換を象徴しており、従来のサンドボックスや自動分析の有効性を大幅に低下させています。
このキャンペーンは、GPUを搭載したシステムだけでなく、特権が昇格されている可能性が高いユーザーも標的としています。 これは、攻撃前のプロファイリングが一定程度行われていることを示唆しており、それはより広範な攻撃戦略の一環である可能性があります。

調査の過程で、Arctic Wolfは、攻撃者が制御するサイトの1つが、 のmacOS向けAMOSステラー（）も配信していたことを確認しました。 AMOSとの関連性が示唆されていることから、この脅威の深刻度は高まっています。

これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。

さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。