北朝鮮系ハッカー、macOSを標的とした暗号資産窃取攻撃　「EtherHiding」でC2通信を秘匿

EtherHidingを悪用したmacOS向け攻撃

北朝鮮系ハッカーが、macOSユーザーを標的としたマルウェア配布キャンペーンを展開していることが確認された。攻撃では、偽のアップデート画面を表示してユーザーを誘導し、クリップボードにコピーされたコマンドをTerminalアプリで実行させることで、マルウェアへの感染や暗号資産の窃取を狙う。この手法は、過去に確認された「Contagious Interview」キャンペーンの派生とみられ、クリックジャッキングを利用したソーシャルエンジニアリングが用いられている。

今回の攻撃では、ブロックチェーンを利用したコマンド・アンド・コントロール（C2）インフラが悪用されている。マルウェアはEthereumのスマートコントラクトからC2サーバー情報を取得することで、攻撃基盤の追跡や遮断を困難にする「EtherHiding」手法を採用している。この手法は、過去にも北朝鮮系ハッカーによる攻撃で確認されている。

感染後は2種類のペイロードが展開される。一つは157種類の暗号資産ウォレットを標的とする情報窃取型マルウェアで、もう一つはChrome拡張機能を悪用し、追加の不正活動を実行するためのマルウェアである。

攻撃経路の変化と求められる防御対策

今回の攻撃は、従来の採用面接や開発者向けのソーシャルエンジニアリングではなく、検索エンジンのスポンサー広告を悪用した手法へと変化している点が特徴だ。被害者は検索結果に表示された広告をクリックすることで悪意のあるWebサイトへ誘導され、その後の感染チェーンにつながっていた。このことは、攻撃者が特定の標的だけでなく、不特定多数のユーザーへ攻撃対象を拡大していることを示している。

今回の事例は、ブロックチェーン技術が攻撃インフラの隠蔽にも悪用される可能性を改めて浮き彫りにした。セキュリティ担当者は、DNSトラフィックの監視に加え、Ethereumスマートコントラクトを利用した不審な通信やC2インフラの兆候についても継続的に監視する必要がある。検索連動型広告を悪用した攻撃への対策を含め、多層的な防御体制の整備が求められる。