新しいMacマルウェアがAppleのクラッシュレポーターを装う：脅威を回避する3つの方法

新たなmacOS向けマルウェア「CrashStealer」がAppleのクラッシュレポーターを装い、ユーザーのデータ、認証情報、キーチェーンエントリ、暗号通貨ウォレットを狙っています。Jamfのセキュリティ研究者が7月13日のアドバイザリで報告したところによると、このマルウェアはC++で書かれた情報窃取型で、VirusTotalへの不審なアップロードをきっかけに発見されました。5月ごろから開発が進められ、現在は実際に流通しているとみられます。

CrashStealerはどのように動作するのか？マルウェアはCrashReporter.dmg、CrashReporter.appといった名前と本物そっくりのアイコンを使い、クラッシュレポーターを装います。さらに、偽のパスワードプロンプトを表示してキーチェーンのロック解除を試みます。ローカルで認証情報を検証した後、パスワードマネージャー、ブラウザ、暗号通貨ウォレットを標的にし、盗んだデータは暗号化されて攻撃者のサーバーに送信されます。

感染経路としては、.dmgディスクイメージが主な手段です。CrashStealerは「Werkbit Setup」という名前の.dmgファイルで配布され、しかもAppleの署名と公証を受けているため、Gatekeeperを通過します。また、ClickFix（偽のCAPTCHAや問題解決を装いユーザーにコマンドを実行させる手法）や、AIチャットボットを通じた配布も確認されています。

防御策として、以下の三つの習慣が有効です。第一に、.dmgの出所を必ず確認し、クラックや海賊版ソフトウェアを避けること。第二に、不意に表示されたパスワード要求には慎重に対応し、疑わしい場合は入力しないこと。第三に、macOSを常に最新の状態に保ち、セキュリティアップデートを適用すること。これらの習慣を実践することで、CrashStealerのような脅威から身を守ることができます。