今週のまとめでは、CTIが、北朝鮮の脅威アクターが「Ferret」と呼ばれるmacOS向けマルウェアを用いて、求職者を標的にしている実態について検証しています。 続いて、CTIは、macOSユーザーを標的とした攻撃件数が最近増加している状況について調査しています。 CTIでは、SharePointのリンクを利用して被害者を正規のPower BIレポートへ誘導するフィッシング攻撃についても取り上げています。
北朝鮮のハッカーが、マルウェア「Ferret」を用いて求職者を標的にしています
現在、北朝鮮のサイバー攻撃者たちは、偽の就職面接プロセスの一環として、「Ferret」と呼ばれるmacOS向けマルウェアを配布しています。
Appleは、Ferretマルウェアからエンドユーザーを保護するためにシグネチャの更新を公開していますが、SentinelOne （新しいタブで開きます） の の研究者たちは最近、「FlexibleFerret」と名付けられたいくつかのサンプルを発見しました。これらは、Appleの端末内マルウェア対策ツール「XProtect」では検出されないままとなっています。
Ferretマルウェアファミリーの背景
これまで、さまざまな研究者による複数の報告で、「 」の「Contagious Interview」キャンペーンに関連するマルウェアの構成要素の詳細が明らかにされています。 （新しいタブで開きます）。 この手口では、被害者は、就職の面接官だと思い込んだ相手と連絡を取り、オンライン面談用のソフトウェアや、面接に必要なその他のコンポーネントをインストールするよう求められます。
Appleは先日、XProtect向けの重要なアップデートをリリースしました。このアップデートは、OSファイルに偽装したバックドアや、Ferretファミリーに関連する2つの永続化モジュールなど、特定のマルウェアコンポーネントを対象としています。
FlexibleFerretとは何ですか？
前述の通り、SentinelOne社は、Ferretマルウェアファミリーの新たなサンプルを特定しました。同社はこれを「FlexibleFerret」と呼んでいます。
研究者たちは当初、他のFerretマルウェアのコンポーネントの調査から方向転換した結果、これらの追加のサンプルを発見しました。 彼らが発見したドロッパーは、2つのアプリケーション、スタンドアロンのバイナリ、およびスクリプトを含むApple Installerパッケージです。
FlexibleFerretはどのように機能するのでしょうか？
SentinelOneの調査によると、このインストーラーパッケージは、必要な管理者権限を取得した後、スクリプトを使用して追加のコンポーネントを配置・実行し、その動作をログファイルに記録することが判明しました。
パッケージ内のバイナリは、スクリプトが同梱されているアプリケーションのいずれかを実行している間に、フィッシングドメインに接続します。
このアプリケーションは、被害者にエラーメッセージを表示し、そのプロセスが正常に実行されているかのように信じ込ませるよう仕向けます。 その間、マルウェアはバックグラウンドで持続性を確立します。
FlexibleFerret と ChromeUpdate
新たに発見されたFerretのコンポーネントは、Appleの最新のFerretルールに関連しています。 このバイナリ自体は、ChromeUpdateのバイナリと 86％の類似性を示しており、ほぼ同一の文字列が含まれています。
SentinelOneによると、XProtectは現在、悪意のあるインストーラーパッケージに含まれるバイナリをマルウェアとして認識していないとのことです。
「Contagious Interview」キャンペーンとは何ですか？
FlexibleFerretは、現在進行中の の「Contagious Interview」キャンペーン （新しいタブで開きます） の一環であり、このキャンペーンは少なくとも 2023号から続いています。
このキャンペーンは主に求職中の開発者を標的としており、偽の応募者に対して、面接に必要なマルウェアが仕込まれたコンポーネントをダウンロードするよう指示することがよくあります。
SentinelOneの調査によると、ある注目すべき事例では、ある脅威アクターが、求職者だけでなくGitHubユーザーも標的とするよう、その対象範囲を拡大しました。
[関連記事：リモート勤務のITスタッフを採用する際は？ 【ディープフェイク詐欺にご注意ください】 （新しいタブで開きます）
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
SentinelOneの報告書は、北朝鮮の攻撃者が求人担当者になりすましている、現在進行中の攻撃キャンペーンに関する重要な知見を提供しています。
新しい「Ferret」マルウェアは、これらの攻撃者がキャンペーンを強化するためのツールを開発し続けていることを示唆しています。また、一般的なGitHubユーザーを標的としていることから、攻撃者がその活動範囲を求職者以外にも拡大している可能性があることがうかがえます。
macOSユーザーは、情報窃取型マルウェアによる脅威の高まりに直面しています
パロアルトでは、macOSユーザーを標的とした攻撃が増加しています。 （新しいタブで開きます） 同社のテレメトリデータによると、 2024年の直近2四半期において、macOS向けの情報窃取型マルウェアが 101％増加したことが示されています。 さらに、macOSで最も多く確認された情報窃取型マルウェアとして、「Poseidon」、「Atomic」、「Cthulhu」の3つが特定されました。
macOSを標的とする情報窃取型マルウェアのトップ3
- Atomic Stealer（AMOS） は、少なくとも2023 年から存在しており、アンダーグラウンドのフォーラムでマルウェア・アズ・ア・サービス（MaaS）として提供されています。 登場以来、いくつかのバージョンが稼働してきましたが、初期のバージョンはGoで開発され、最近のものはC++で記述されています。
バージョンにかかわらず、多くのAMOSの運営者は、メモや文書、ブラウザのデータ、仮想通貨ウォレット、インスタントメッセージングのデータを盗むために、マルウェア広告を通じてこれを拡散しています。 - 「Poseidon Stealer」 は、サイバー犯罪者向けのフォーラムにおいて、Rodrigo4 というハンドルネームを持つ人物によって宣伝されており、その人物はかつてAMOSのコーディングも担当していたとされています。 Palo Altoによると、Poseidon MaaSは昨夏、身元不明の買い手に売却されましたが、このマルウェアは依然として実環境で活動し続けているとのことです。
この情報窃取型マルウェアは、正規のソフトウェアやアプリケーションを装ったトロイの木馬化されたインストーラーを通じて、頻繁に配布されています。 これらのインストーラーは、多くの場合、 といった悪意のあるGoogle広告 （新しいタブで開きます） や電子メールを通じて配布されており、マルウェアを展開するためのエンコードされたAppleScriptファイルが含まれています。
パロアルト社によると、Poseidonは、システム情報の収集、ブラウザデータや仮想通貨ウォレットの窃取、パスワードマネージャーからのパスワードの収集など、さまざまなタスクを実行できるとのことです。
[関連記事：パスワードのセキュリティに関する新しい考え方に、きっと驚かれることでしょう] (新しいタブで開きます)
- 「Cthulhu Stealer 」は、MaaSサービスとしても提供されています。 この情報窃取型マルウェアは、多くの場合、悪意のあるアプリケーションのインストーラーを介して配布されます。 これらのインストーラーは、システム設定を更新するためにパスワードを入力するよう指示するダイアログボックスを被害者に表示します。
この情報窃取型マルウェアは、FileZillaの設定ファイル、メモファイル、特定のファイル拡張子、ブラウザのデータなど、はるかに幅広い情報を標的としています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ここ数年、 ランサムウェア （新しいタブで開きます）をはじめ、macOSを標的とした脅威や脆弱性、情報窃取型マルウェアの数が大幅に増加しています。
この増加は、macOS搭載デバイスの普及によるものと考えられます。 しかし、単に脅威アクターが競争の少ない分野を探しているだけという可能性もあります。 何しろ、サイバー犯罪の世界は、ますますビジネスのように運営されるようになってきています。
パロアルトの調査により、さらなる悪意のある活動につながる可能性のある、3つの特定のmacOS向け情報窃取型マルウェアについて、貴重な知見が得られました。
攻撃者はフィッシング攻撃において、MS Power BIを活用しています
Cofenseは、 （新しいタブで開きます） において、SharePointのリンクを利用して被害者を本物のPower BIレポートに誘導し、「ドキュメントを開く」というリンクをクリックするよう促して、実際のフィッシングページへ誘導するフィッシングキャンペーンを確認しました。
MS Power BIを装ったフィッシングメールはどのようなものですか？
このキャンペーンにおける「 」のフィッシングメール（ （新しいタブで開きます）、、 ）では、支払い確認に関連する件名を使用し、緊急性を煽って、衝動的にクリックしてしまうよう仕向けています。 また、各メールには、被害者にそれが正規のSharePointファイルであると信じ込ませるために、見慣れたブランドイメージや書式が用いられています。
[関連記事：サイバーセキュリティにおけるソーシャルエンジニアリングとは？ 【完全ガイド】 （新しいタブで開きます）
Power BI のリンクをクリックすると、どうなりますか？
被害者がメール内の「開く」リンクをクリックすると、本物のPower BIのリンクにリダイレクトされます。
Cofenseによると、実際のPower BIのリンクを使用することで、こうしたメールがセキュアなメールゲートウェイをすり抜ける可能性が高まり、被害者にその行為が正当なものだと信じ込ませやすくなるとのことです。
Cofenseによると、何かがおかしいという最初の兆候は、被害者に「ドキュメントを開く」と書かれたボタンをクリックするよう求められるときだとのことです。 このボタンをクリックすると、本物のフィッシングページに遷移します。
フィッシングページはどのように機能するのでしょうか？
このフィッシングページは、ユーザー名とパスワードの入力を求める、典型的なマイクロソフトのサインインページです。 このページ自体で唯一の不審な点はURLであり、これは明らかにマイクロソフトの正規のURLではありません。
また、Cofenseは、共有ドキュメントにアクセスするための認証情報の要求は異例であり、潜在的な問題を示唆している可能性があると指摘しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このフィッシング攻撃は、脅威アクターが信頼されているツール、特に職場で使用されているツールを悪用することが多いという好例です。
これらのフィッシングメールには正規のPower BIリンクが含まれているため、従来の
従業員向けサイバーセキュリティ研修
この場合は、カーソルを合わせて不審なリンクを特定するという方法は通用しません。
この種のフィッシングメールでは、標的とされた被害者が、フィッシングの試みであると見抜くために、さらなる不審な点（例：そのメールが届く予定がなかったなど）に気づく必要があります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。 （新しいタブで開きます）。
