fix

Appleのクラッシュレポート機能（CrashReporter）になりすますmacOSスティーラー「CrashStealer」の感染連鎖が報告されています。Apple公証を通った署名済みドロッパーでGatekeeper（macOSの実行防御）を素通りし、偽のmacOSパスワード画面で認証情報を抜き取ってloginキーチェーンの解除まで狙う構成です。偽パスワード画面やdscl照合、キーチェーン窃取自体はこの種のスティーラーの定番ですが、本検体はAppleScriptやObjective-Cラッパーが主流のこの分野では珍しいネイティブC++実装で組まれています。集めたデータをホスト側でAES-GCM暗号化してから送り出す設計で、分析元は既存ファミリーと区別して別系統として追跡しています。 【要点の整理】 ・入口の署名・公証済みドロッパーと、後から取得される偽CrashReporterのアドホック署名で役割を分ける構成。ドロッパーは有効なApple Developer IDで署名され公証チケットもアプリに添付（ステープル）済みのため初回起動でGatekeeperを通過し、DMGファイル自体まで署名する（不正なDMGでは未署名が通例）点も珍しい手口。配布元ドメイン（werkbit[.]io）は2026年6月末登録で、会議用のPINコードを知る訪問者だけにインストーラーを表示し、不特定多数への露出を抑える設計。 ・感染連鎖は信頼されたドメインを段階的に踏み台にする作り。ドロッパーはまずGitHubの攻撃者リポジトリmgothiclove[/]pkeysからcurlコマンドを取り込み、配布・ステージング用のendpoint-api-v1[.]comが返すシェルスクリプト（複数のBase64を多段デコードして組み立て）を実行、平文HTTPでペイロードのDMGを取得し、bundle IDにcom[.]apple[.]crashreporterを名乗る偽CrashReporterを隠しディレクトリでアドホック再署名して起動する流れ。 ・偽のmacOSパスワード画面に入力された値を、正規のdsclコマンド（macOS標準のディレクトリサービス用コマンド、-authonlyオプション）でローカル照合し、正しい値が入るまで画面を出し直すループ。検証済みパスワードでloginキーチェーン（保存済み認証情報を収める既定のキーチェーン）を解除し、Chromium系ブラウザーの認証情報やCookie、パスワード管理ソフト、暗号資産ウォレットへと窃取を広げる手順。収集の前後にはEDRやmacOSの解析ツールをdefaults readとdu -shで列挙し、防御環境の様子をうかがう偵察も観測。 ・収集対象は約80種の暗号資産ウォレット拡張、14種のパスワード管理ソフト、Documents／Downloads内から拡張子・ディレクトリで選別したファイルと広範囲。各項目はAES-256-GCM（Apple標準のCommonCrypto）で暗号化し、鍵はPBKDF2-HMAC-SHA256・10,000回反復で導出。ただしsaltは乱数でなくハードコード値panel_salt_v1で、本番向けに設定すべきsaltを開発時の既定のまま残した痕跡も指摘。暗号化済みデータは.zx_で始まる隠しZIPにまとめ、libcurlのマルチパート形式でハードコードのC2 179[.]43[.]166[.]242へ持ち出す流れ。 ・永続化は別ステージのダウンロードでなく、自身を複製・アドホック再署名して仕込む方式。com[.]apple[.]crashreporter[.]helperというLaunchAgentを登録し、RunAtLoadと「正常終了しなければ再起動」する設定でログイン時常駐を維持する実装。制御フロー平坦化、C2 URLや標的リストを含む文字列の暗号化、起動時の初期化処理に二重に仕込んだアンチデバッグなど、解析耐性にも手を入れた構成。 ・関連インフラの広がりも指摘。配布ドメインには「Command Panel」と称するログイン画面のオペレーター管理面が同居し、cohezo[.]io・cordinex[.]ioなど別ドメインの管理面も確認されており、CrashStealerは複数プラットフォームにまたがるキャンペーンの一部とみられるとの見立て。 解析を行ったチームは、ドロッパーの署名に使われたDeveloper Team IDをAppleへ報告済みとしています。 詳細は以下を参照： jamf.com/blog/crashstealer-m… (※可能な範囲でファクトチェックは実施済なものの、元記事の精度依存や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)

北朝鮮系攻撃者がMacユーザーを狙い、macOS向けの偽Zoomアップデートで認証情報と暗号資産まで窃取するキャンペーンが報告されています。Sapphire_Sleetと呼ばれるグループがSNSで採用担当者を装って接触し、偽のビデオ会議招待からAppleScript形式の「Zoom_SDK_Update.scpt」を実行させる流れ。Script_Editorで開くと可視範囲には正規のアップデート手順が表示され、大量の空行を挟んで本来の悪性コードを画面外に隠す構成。 【要点】 ・攻撃チェーンはAppleScriptファイル実行→curlでのペイロード取得→osascriptへのパイプ実行→複数の永続化コンポーネント展開との多段構成。 ・curlのUser-Agent（mac-cur1〜mac-cur5）で役割を分離。mac-cur1でホスト監視とバックドア配信、mac-cur2で認証情報窃取アプリ展開、mac-cur3でTCC（アプリ権限制御機構）回避・データ収集・持ち出しを担う設計。 ・認証情報窃取ではsystemupdate[.]appがネイティブのパスワードダイアログを表示し、dscl（ディレクトリサービスのコマンド）でローカル認証に照合した上でTelegram Bot API経由で即座に外部送信。 ・TCC回避ではFinder（デフォルトでフルディスクアクセスを保持）にcom[.]apple[.]TCCフォルダをリネームさせ、TCC[.]dbをsqlite3で改変してosascriptにFinder宛のAppleEvents権限を付与する手順。コード署名要件（csreq）も正規に含めて通知を回避。 ・窃取対象はTelegramセッション、ブラウザの認証情報・Cookie・履歴・ブックマーク、Phantom・Coinbase・OKX・Bitwarden等9種の暗号資産ウォレット拡張、Ledger Live・Exodusのデスクトップウォレット、macOSキーチェーン、SSH鍵・シェル履歴に及ぶ。 Apple側では責任ある開示を受けSafari Safe BrowsingとXProtectに検知・ブロックが追加済みとの報告です。Microsoftでは[.]scpt実行制限、curl経由のosascript監視、TCC[.]db改変監視、com[.]apple[.]*やcom[.]google[.]*を装うLaunchDaemon監査が推奨されています。 詳細はリンク先の記事を参照。 microsoft.com/en-us/security…