macOSを狙う「MacSync」、偽のClaudeインストールガイドで認証情報や暗号資産を窃取
偽のClaudeインストールガイドから「MacSync」を配布
macOSユーザーを狙い、Claudeのインストールガイドを装ってマルウェアを配布するキャンペーンが確認された。攻撃者はGoogleの検索結果に表示されるスポンサー広告などを利用して偽のインストールガイドへユーザーを誘導し、macOS向けトロイの木馬「MacSync」を実行させようとする。正規のAIサービスに関連するコンテンツを装うことでユーザーの警戒を弱めるほか、信頼性の高いクラウドインフラを攻撃チェーンに組み込み、悪意のある活動を正規の通信に紛れ込ませる手法も用いられている。
偽のApple Supportを装いTerminalでコマンド実行を誘導
攻撃は、ユーザーが「MacにClaudeをインストールする方法」などのキーワードを検索することから始まる。検索結果から誘導された偽のインストールガイドは「Apple Support」を装っており、正規の手順であるかのように見せかけて、ユーザー自身にTerminalでコマンドを実行させる。
実行を促されるコマンドには、Base64で難読化されたcurlコマンドが含まれており、ユーザーが指示に従うことで後続の悪意ある処理が実行される仕組みとなっている。攻撃者はAppleやClaudeといった信頼性の高いブランドを利用し、通常であれば警戒されるTerminal上でのコマンド実行をユーザー自身に行わせるソーシャルエンジニアリング手法を採用している。
MacSync、認証情報や暗号資産ウォレットを標的に
MacSyncは、Macのローカルパスワードやキーチェーンに保存された情報、セッションデータ、クラウドサービスの認証情報などを窃取する機能を備えている。さらに、感染したシステムへの継続的なアクセスを確保するためにネイティブのMach-O形式のRATを展開し、端末の遠隔操作を可能にする。
また、暗号資産ウォレットアプリを改ざんしてトロイの木馬化し、被害者が保有する暗号資産へのアクセスを試みる機能も確認されている。検知にあたっては、curlとBase64を組み合わせた不審なコマンドの実行や、通常とは異なるTCC権限の要求などが確認ポイントとなる。ユーザー側では、検索結果に表示された非公式のインストール手順を安易に実行せず、ソフトウェアを公式サイトや正規の配布経路から入手することが重要となる。
