概要
macOSユーザーを標的とした新たな情報窃取マルウェア「AMOS」のキャンペーンが展開されています。この攻撃は、Google検索広告を悪用し、ChatGPTやGrokといったAIチャットプラットフォームを介してユーザーを欺き、マルウェアをインストールさせます。一見すると役立つ情報を提供しているように見えますが、最終的にはAMOS infostealerをmacOSシステムに導入する結果となります。
このキャンペーンは、サイバーセキュリティ企業Kasperskyの研究者によって最初に発見され、その後Huntress managed security platformが詳細なレポートを公開しました。
「ClickFix」攻撃の詳細
「ClickFix」と名付けられたこの攻撃は、ユーザーがmacOS関連の検索ワード（例：「iMacのデータを消去する方法」、「Macのストレージを解放する」など）でGoogle検索を行うことから始まります。攻撃者は、これらの検索結果に表示されるGoogle広告を悪用し、悪意のある指示を含むChatGPTやGrokの会話ページに直接リンクさせます。これらのチャットは正規のLLMプラットフォーム上でホストされており、マルウェアをインストールするための不正なコマンドを含んでいます。
Huntressの研究者によると、この手口は特定の検索クエリに限らず、「iMacのデータを消去する方法」や「Macのストレージを解放する」といった一般的なトラブルシューティングのクエリを対象とした、意図的かつ広範囲にわたる攻撃であることが確認されています。
ユーザーがAIチャットから得たコマンドをmacOSのターミナルで実行すると、Base64でエンコードされたURLがデコードされ、偽のパスワード入力ダイアログを表示するbashスクリプトが実行されます。ユーザーがパスワードを提供すると、スクリプトはそのパスワードを検証・保存し、特権コマンドの実行に利用します。これにより、AMOS infostealerがダウンロードされ、ルートレベルの権限で実行されます。
AMOSインフォスティーラーの機能
AMOSは2023年4月に初めて報告されたマルウェア・アズ・ア・サービス（MaaS）で、月額1,000ドルでレンタルされており、macOSシステムのみを標的としています。今年初めには、感染したホストでコマンド実行、キーストロークの記録、追加のペイロードのドロップを可能にするバックドアモジュールが追加されました。
AMOSは通常、/Users/$USER/に隠しファイル (.helper) としてドロップされます。起動すると、アプリケーションフォルダ内でLedger WalletやTrezor Suiteをスキャンし、見つかった場合はトロイの木馬化されたバージョンに上書きします。これにより、被害者は「セキュリティのため」としてシードフレーズの入力を促されます。
AMOSが狙う主な情報には以下のものがあります：
- Electrum, Exodus, MetaMask, Ledger Live, Coinbase Walletなどの暗号通貨ウォレット
- Cookie、保存されたパスワード、自動入力データ、セッショントークンなどのブラウザデータ
- アプリのパスワードやWi-Fi認証情報などのmacOSキーチェーンデータ
- ファイルシステム上のあらゆるファイル
永続化は、隠されたAppleScriptを実行するLaunchDaemon (com.finder.helper.plist)を介して行われます。これはウォッチドッグループとして機能し、マルウェアが終了した場合でも1秒以内に再起動させます。
対策と注意喚起
今回のClickFix攻撃は、攻撃者がOpenAIやXのような正規かつ人気のあるプラットフォームを悪用する新たな手口を試していることの証拠です。ユーザーは常に警戒し、オンラインで見つけたコマンド、特にその内容を完全に理解していない場合は、安易に実行しないようにする必要があります。
Kasperskyは、不正に操作されたLLMの会話にたどり着いたとしても、ChatGPTに追加の質問をして提供された指示が安全かどうかを尋ねれば、それが安全ではないことが明らかになると指摘しています。