今週のまとめでは、Tanium CTIチームが、世界中のデバイスに影響を及ぼしている大規模なマルウェア広告キャンペーンについて分析しています。 次に、XCSSETと呼ばれる新しいmacOSマルウェアの亜種について分析します。 最後に、CTIは、偽のGitHubリポジトリを利用してマルウェアを拡散させる、現在進行中の攻撃キャンペーンについて調査を行っています。
新たなマルウェア広告キャンペーンにより、100万台以上の端末が感染しました
マイクロソフトは、世界中で100万台以上のデバイスに影響を及ぼしている大規模なマルウェア広告キャンペーンについて警鐘を鳴らしています。 (新しいタブで開きます)
マイクロソフトによると、この機会主義的な攻撃は、マルウェア広告のリダイレクターが埋め込まれた違法ストリーミングサイトから発せられたもので、最終的に被害者をGitHubや、 という情報窃取型マルウェアをホストしているその他のプラットフォームへと誘導しました。 （新しいタブで開きます）。
Storm-0408とは何ですか？
マイクロソフトは、この活動を「Storm-0408」として監視しています。 これには、リモートアクセス型や情報窃取型のマルウェアに関連する複数の脅威アクターが関与しており、特にフィッシング、SEO、およびマルウェア広告を利用して拡散されるものが挙げられます。
攻撃者は主にGitHubを利用してペイロードをホストしていますが、時折、DiscordやDropboxにペイロードがホストされることもあります。 マイクロソフトは、 2024年12月において、この活動を初めて確認しました。
リダイレクトチェーンの理解
マイクロソフトは、悪意のあるGitHubリポジトリから第1段階のペイロードをダウンロードしている複数のホストを確認しました。 これらのユーザーは、おそらく違法ストリーミングサイトからの一連のリダイレクトを経て、GitHubに誘導されました。
リダイレクターは、いくつかのリダイレクターを経由してトラフィックを転送しましたが、最終的には被害者を詐欺サイトに誘導し、そこからGitHubへとリダイレクトさせました。 この攻撃では、マルウェアがいくつかの段階で展開されました。
攻撃の連鎖はどのようなものなのでしょうか？
被害者がマルウェアがホストされているGitHubにリダイレクトされると、マルウェアはユーザーの端末に最初の足場を築きます。 このマルウェアは、情報窃取型マルウェア、RMMソフトウェア、および各種スクリプトなど、その他のペイロードやステージングのドロッパーとして機能します。
このアクターの活動は、「ペイロードの配信、実行、および持続化に対するモジュール式かつ多段階のアプローチ」につながり、これには以下に要約する4つの段階が含まれます：
- ホスト「」に足場を築く
攻撃の第一段階では、GitHubから被害者のデバイスにペイロードが仕込まれ、これにより攻撃者はそのデバイスに足場を築くことができます。 2025年1月の中頃を境に、これらのペイロードには新しい証明書によるデジタル署名が行われました。 12件の証明書が特定されましたが、それらはすべてその後失効となりました。 - システムの検出、情報の収集、および外部への流出
Microsoftは、第1段階で何が使用されたかによって、第2段階のペイロードが異なることを確認しました。 ただし、第2段階の目的は、第1段階の内容（発見、収集、およびデータ持ち出しなど）にかかわらず、変わりません。 このマルウェアは、OSのバージョン、実行中のコマンド、デバイス名、ドメイン名など、デバイスに関する情報を収集します。
[関連記事：サイバー攻撃の仕組み ― ビジネスリスクを継続的に低減する 3 の方法] (新しいタブで開きます)
- PowerShell および .exe
繰り返しになりますが、第3段階は第2段階で何が起きたかによって異なり、実行ファイルが1つまたは複数ドロップされます。 第2段のペイロードは、第3段の実行ファイルを起動して、実行中のプログラムを特定します。特に、セキュリティソフトウェアに関連することが知られているキーワードを検索します。 また、この実行ファイルはAutoIT v3 インタープリタファイルを生成し、そのファイル名は拡張子が.comになるよう変更された上で実行されます。
場合によっては、第2段階のペイロードがPowerShellスクリプトをドロップすることもあります。 このPowerShellスクリプトは、 C2から追加のファイル（NetSupport RATなど）をダウンロードし、マルウェアの持続性を確立し、 C2 のサーバーへ情報を流出させることができます。 - PowerShell
場合によっては、先に名前を変更した AutoIT ファイルが、追加の PowerShell スクリプトを生成することがあります。 このスクリプトは難読化されており、その目的は、 、Microsoft Defender （新しいタブで開きます）、、 に対して除外パスを追加し、悪意のあるアーティファクトを含む特定のフォルダがスキャン対象から外れるようにすることです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この攻撃におけるリダイレクトの連鎖は、あるサイトに埋め込まれた単一のリダイレクターから始まるため、非常に巧妙なものとなっています。 また、このアクターは、多段階の感染チェーンやさまざまなペイロードを用いて、高度な機能を発揮しました。 とはいえ、この俳優もまた、GitHubのような正当なサービスを悪用して、さらに周囲に溶け込もうとするという一般的な傾向に従っています。
マイクロソフトの報告書では、この活動に関連して確認されたさまざまなペイロードや段階について詳しく解説されています。 また、本レポートでは、 が推奨する対策 （新しいタブで開きます）、検索クエリ、およびDefenderのアラートについても紹介しており、これらは本脅威に関連する活動を特定するのに役立つ可能性があります。
XCSSETの亜種は、難読化と強化された永続化機能を利用しています
マイクロソフトは最近、 （新しいタブで開きます） にて、macOS向けの新たなマルウェアの亜種「XCSSET」を発見しました。このマルウェアは、AppleおよびmacOSアプリの構築に使用される開発ツール「Xcode」のプロジェクトに感染しています。
この最新の亜種は、難読化の強化、持続性の向上、および新たな感染戦略を特徴としています。 結局のところ、それは「モジュール式のアプローチとエンコードされたペイロードを特徴としています」。
XCSSETマルウェアとは何ですか？
XCSSET malware, first identified in 2022, targets Xcode projects during the build process. 最初に確認されたバージョンと比較して、新たに発見されたXCSSETの亜種は、エラー処理が改善されており、スクリプト言語、 、UNIXコマンド （新しいタブで開きます）、、、および正規のバイナリへの依存度が高まっています。 特に、モジュール名を隠蔽しているため、分析が難しくなります。
また、マイクロソフトによると、この新しい亜種は独自の永続化手法を採用しており、一部のモジュールは現在開発中であるように見えますが、 C2 サーバーは稼働しており、追加のモジュールをダウンロードしているとのことです。
新しいXCSSETの亜種は、どのように機能するのでしょうか？
この新しい亜種は、4段階からなる感染チェーンであり、その最終段階では追加のサブモジュールが実行されます：
- 第1段階では、 被害者が感染したXcodeプロジェクトをビルドすると、Xcodeシェルペイロードが実行されます。 復号されたペイロードは、 C2 サーバーに対してcurlリクエストを行い、第2段階のペイロードを受信します。
- 第2段階では、 ペイロードがオペレーティングシステムに関する情報を収集し、次のペイロードを受信する前にそのデータを C2 サーバーに送信します。
- 第3段階では、 シェルスクリプトが、デバイスのXProtectのバージョンが 5287未満であることを確認し、参照されている実行中のプロセスを停止させ、ホームフォルダ内の「.a」という名前の隠しファイルを検索します。 この段階では、「l.app」への既存の参照を削除して新しい参照を作成し、追加のスクリプトをダウンロードし、以前にダウンロードしたスクリプトを起動するためのAppleScriptを作成します。 最後に、このスクリプトは「LSUIElement」キーを有効にして、Dockからアプリを非表示にし、アプリケーションをバックグラウンドで実行し、作成されたアプリを削除します。
- 第4段階では、 にて、事前に作成したAppleScriptアプリが実行され、OSのバージョン、Safariのバージョン、ユーザーのロケール、ファイアウォールの状態、SIPの状態、およびCPU情報を取得するためのコマンドが実行されます。 その後、難読化された複数のモジュール名を含む関数を繰り返し呼び出します。
[関連記事：デバイスの脆弱性管理とは？] (新しいタブで開きます)
第4段階におけるサブモジュールの重要性
第4段階のスクリプトでは、以下の機能を持つさまざまなサブモジュールをダウンロードすることができます：
- ブラウザ拡張機能の一覧
- モジュールの追加ダウンロード
- デジタルウォレットのデータの盗み出し
- さまざまな方法で永続性を確立する
- Notesデータの盗み出し
- Xcodeプロジェクトへの組み込み
また、マイクロソフトは、ファイルやデータの持ち出しに関連するいくつかのモジュールを特定しましたが、これらは現在も開発中であると考えられています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
マイクロソフトの報告書で最も重要な点の一つは、XCSSETの C2 番サーバーが追加のモジュールをダウンロードしているということです。 ですから、この新しい亜種はそれほど広まっていないかもしれませんが、追加のモジュールが開発中であり、現在も活動中です。 この亜種の新たな動向は、 や、macOSを標的とした最近の攻撃 （新しいタブで開きます） など、全体的な脅威情勢の傾向とも一致しています。
現在進行中の攻撃では、偽のGitHubリポジトリを利用してマルウェアを拡散させています
トレンドマイクロは、 （新しいタブで開きます） において、偽のGitHubリポジトリを利用してマルウェアを拡散させる、現在進行中のキャンペーンを発見しました。
このキャンペーンでは、AIによって生成されたコンテンツを用いて偽のリポジトリを本物のように見せかけており、攻撃が成功すると、攻撃者は 2FA 個の拡張機能やログイン認証情報などを盗み出すことができます。
[関連記事：はい、ChatGPTはハッキングを加速させるでしょう――しかし、その対策にも役立つのです] (新しいタブで開きます)
ハッカーたちはGitHubをどのように悪用しているのでしょうか？
脅威アクターが、マルウェアを拡散するためにGitHubを悪用し続けていることは明らかです。 しかし、この攻撃キャンペーンにおいて、この攻撃者はGitHub上にマルウェアをホストしていません。 その代わりに、彼らは生成AIを利用して、GitHub上に一見正当なリポジトリのように見えるものを作成しています。
攻撃はどのように始まるのでしょうか？
現在進行中のこのキャンペーンは、AIによって生成された偽のGitHubリポジトリから始まります。これらは、正規のツールやソフトウェアに見せかけるように巧妙に作られています。 その後、この攻撃者はAIを利用してREADMEファイルやドキュメントを作成し、正当性があるかのような印象を強めることで、被害者を騙してコンテンツをインストールさせます。
[関連記事：ジェネレーティブAIがもたらす 3 の最大の脅威（さらに1つのリスク）と、それらを回避する方法] (新しいタブで開きます)
トレンドマイクロによると、これらの偽のリポジトリが現在特に目立つのは、READMEの内容の書式設定が「AIによって大幅に生成されているためであり、その証拠として、過剰な絵文字の使用、不自然な表現、ハイパーリンクが張られたロゴ、構造化されたコンテンツといった特徴が見られる」とのことです。
これらのリポジトリは、被害者にSmartLoaderマルウェアのペイロードを含む.zipファイルをダウンロードさせることを目的としています。
SmartLoaderはLumma Stealerをどのように利用しているのでしょうか？
SmartLoaderマルウェアは、GitHubからファイルをダウンロードし、それを「search.exe」という名前で保存することで、Lumma Stealerやその他のペイロードを配信します。これにより、Lumma Stealerが実行されることになります。
SmartLoaderは、ペイロードを読み込む際にファイルサイズを水増しし、ファイルサイズを約 1GBまで増大させることが知られています。 このマルウェアは、追加のファイルを実行し、一時フォルダ内に悪意のあるファイルを作成し、さまざまなセキュリティソフトウェアの検出コマンドを実行し、ブラウザのデバッグを行います。 この処理が完了すると、Lumma Stealerは自身の C2 に接続し、データを外部へ流出させます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
これは、脅威アクターが攻撃の一環としてGitHubを利用しているという、最近のまた別の事例であり、確立された信頼関係が悪用される可能性があり、また実際に悪用されることが多いということを改めて思い知らされます。
この攻撃の興味深い点は、攻撃者がAI生成コンテンツを利用していることです。特に、 のようなAI （新しいタブで開きます） が攻撃に利用された事例は、これまであまり見られなかったからです。 トレンドマイクロは、この攻撃が現在も続いており、攻撃者が「高度なツールを活用して攻撃を自動化・高度化」し続けるにつれて、今後も進化し続ける可能性が高いと指摘しています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。 （新しいタブで開きます）。
