ホーム » 不正プログラム » Mac向けマルウェア「XCSSET」を追う：Telegramなど複数アプリからの情報窃取を解説

Mac向けマルウェア「XCSSET」を追う：Telegramなど複数アプリからの情報窃取を解説

投稿日:2021年8月24日
脅威カテゴリ:不正プログラム, 攻撃手法
執筆:Trend Micro

トレンドマイクロではMac利用者を狙うマルウェア「XCSSET」の攻撃キャンペーンを追跡調査しています。前回2021年5月の記事では、最新のmacOS 11「Big Sur」を対象として追加された機能についての調査結果を報告しました。その後も同キャンペーンは攻撃ツールにさらなる機能を追加しつつ継続しています。トレンドマイクロは監視を継続する中で、XCSSETがさまざまなアプリから情報を窃取する手口を確認しました。情報窃取は弊社で最初にXCSSETを確認した時から存在している動作です。

図1：XCSSETが使用する不正スクリプト「telegram.applescript」の例

■マルウェア「XCSSET」が情報を窃取する手口

XCSSETは最初のバージョンから、さまざまなアプリから収集したデータをコマンド＆コントロール（C&C）サーバに送信することが確認されていました。しかし、そのデータがどのように利用されるのかは分かっていませんでした。その後、データを窃取するメカニズムが判明し、窃取されるデータには多様な目的に利用できる貴重な機密情報が含まれていることが確認されました。

ここでは、XCSSETが使用する悪意のあるAppleScriptファイル「telegram.applescript」を例に解説します。名前が示す通り、これは「Telegram」を標的とする不正スクリプトです。主なロジックは、「~/Library/Group Containers/6N38VWS5BX.ru.keepcoder.Telegram」というフォルダをZIPファイルに圧縮し、そのファイルをC&Cサーバにアップロードするというものです。

このフォルダ上のファイルが窃取される目的を確認するために、2台のMacコンピュータを用いてテストを行いました。

コンピュータAとコンピュータBの両方にTelegramをインストールする
コンピュータAにて有効なTelegramアカウントでログインする。コンピュータBではTelegramを使用しない
コンピュータAの「~/Library/Group Containers/6N38VWS5BX.ru.keepcoder.Telegram」フォルダをコンピュータBにコピーし既存のフォルダと入れ替える
コンピュータBでTelegramを実行する。このとき、コンピュータAで使用したアカウントでログイン済みであることが確認される

つまり、該当のフォルダ上のファイルを入手できれば、異なるコンピュータ上でも感染コンピュータがログインしていたTelegramアカウントに不正アクセスすることができます。これが、攻撃者が当該フォルダ上のファイルを窃取する目的であると考えられます。

macOSでは、Application sandboxディレクトリの「~/Library/Containers/com.xxx.xxx」および「~/Library/Group Containers/com.xxx.xxx」は、一般ユーザでも読み取り・書き込み権限でアクセスすることが可能です。この点はiOSでの運用とは異なります。macOSでは、すべての実行ファイルがサンドボックス化されているわけではないため、簡単なスクリプトによってサンドボックスディレクトリに保存されているすべてのデータを窃取することが可能になります。アプリケーション開発者は、機密データ、特にログイン情報に関連するデータを、サンドボックスディレクトリに保存しないようにしてください。

■XCSSETが狙う機密データ

XCSSETは、攻撃対象アプリから重要な個人情報を大量に収集しており、そのほとんどがサンドボックスディレクトリに保存されていました。ここでは、それがChromeでどのように実行されるかを解説します。

Chrome では、収集されるデータにユーザが保存していたパスワードが含まれます。データをダンプするためにマルウェアは「security find- generic-password -wa ‘Chrome’」というコマンドを使用して「safe_storage_key」を取得する必要があります。しかし、このコマンドを利用するにはroot権限が必要です。マルウェアはこの条件をクリアするため、図2に示すようにroot権限を必要とするすべての操作を1つの関数にまとめています。

Figure 2. Operations requiring administrator privilege

図2.：root権限（管理者権限）を必要とする操作

その後、偽のダイアログボックスが表示され、ユーザはこれらの権限を許可するよう促されます。マルウェアがChromeのsafe_storage_keyを取得すると、すべての機密データを復号してC&Cサーバにアップロードします。

Figure 3. Information stealing code targeting Google Chrome

図 3：Google Chromeから情報を窃取するコード

Figure 4. Information stealing code targeting Google Chrome

図 4：Google Chromeから情報を窃取するコード

また、同様のスクリプトで、以下のアプリケーションをターゲットにするものが確認されています。

Contacts
Evernote
Notes
Opera
Skype
WeChat

■新しいC&Cドメイン

2021年4月20日から22日にかけて、以下の新しいドメイン名が出現しましたが、それらはすべてXCSSETがそれ以前にも使用していたIPアドレス94.130.27.189に解決するものでした。

atecasec.com
linebrand.xyz
mantrucks.xyz
monotal.xyz
nodeline.xyz
sidelink.xyz

同様に、以下のドメイン名も正規のIPアドレスから上述の94.130.27.189に解決されるように変更されました。

icloudserv.com

これらの新しいドメイン名にはすべて、2021年4月22日から7月21日まで有効な「Let’s Encrypt」のHTTPS証明書がついています。

図 5：C&C サーバの HTTPS 証明書

2021年4月22日以降すべてのC&Cのドメイン名は、194.87.186.66に解決されるようになりました。5月1日、新しいドメイン名「irc-nbg.v001.com」が元のC&CのIPアドレス94.130.27.189に解決されました。この新しいドメイン名は、IRCサーバが同じIPアドレスに設置されていることを示唆していますが、今のところXCSSETとの関連は確認されていません。

2021年6月9日から10日にかけて、XCSSETのC&Cサーバに関連する既存のドメイン名はすべて削除され、代わりに以下の新しいドメイン名が追加されました。

atecasec.info
datasomatic.ru
icloudserv.ru
lucidapps.info
relativedata.ru
revokecert.ru
safariperks.ru

しかし、6月24日、これらのサーバは攻撃者によって閉鎖されました。現在、XCSSETの新しいサーバは確認できていません。

■その他の動作の変更

Bootstrap.applescript

bootstrap.applescriptの注目すべき変更点の一つ目は、最新のC&Cドメインが使用されていることです。

図6：bootstrap.applescript が使用するC&Cドメイン

利用可能なドメイン名のほかに、IPアドレスも含まれていることに注意してください。将来すべてのドメインが突然閉鎖されたとしても、IPアドレスでC&Cサーバに到達することができます。

図7：使用されているモジュール

また、Googleによる試験運用版ブラウザ「Chrome Canary」に対してクロスサイトスクリプティング（XSS）を実行するために、新しいモジュール「canary」が追加されていることがわかります。

Figure 8. Modules in use, showing removed module

図8：使用中のモジュール。削除されたモジュールがわかる

くわえて、前回のバージョンと比較すると”screen_sim “の呼び出しが削除されています。

Replicator.applescript

ローカルのXcodeプロジェクトを感染させる最初の段階として、前回のバージョンから、注入されるビルドフレーズやビルドルールのIDがハードコードされたIDからランダムに生成されたIDに変更されました。ただし、IDの末尾6文字は「AAC43A」としてハードコードされたままです。最新バージョンでは、ハードコードされた末尾6文字が「6D902C」に変更されています。

図9：変更された末尾6文字

偽のビルドフェーズとビルドルールを注入する際のスクリプトのロジックについて、以前のバージョンでは感染したXcodeプロジェクト内の隠しフォルダにある不正なMach-Oファイルを呼び出していました。しかしながら、変更後のバージョンでは、curlコマンドを呼び出してC&Cサーバから「a」という名前のシェルスクリプトをダウンロードし、その内容を「sh」に渡して実行させます。この変化によって、最新バージョンに感染したXcodeプロジェクトには追加の不正ファイルが含まれません。