SlowMist 23pds 警告：Lazarus Group が暗号通貨向けの新型 macOS ツールキットを公開

Zhoumugu 首席情報セキュリティ責任者 23pds は 4 月 22 日に警告を発表し、北朝鮮のハッカー組織 Lazarus Group が新しいネイティブ macOS マルウェアのツールキット「Mach-O Man」を公開したと述べている。これは暗号通貨業界および高額な価値を持つ企業の幹部を対象にしている。

攻撃手法と標的

Mauro Eldritch の分析レポートによれば、今回の攻撃は ClickFix 手法を採用している。攻撃者は Telegram（侵害された連絡先アカウントを使用）経由で、正規の会議招待として偽装したリンクを送信し、被害者を Zoom、Microsoft Teams、または Google Meet のなりすまし偽サイトへ誘導する。そのうえで、ユーザーに macOS のターミナルでコマンドを実行し「接続問題を修復」するよう促す。この操作により、攻撃者は従来のセキュリティ制御を発動させることなくシステムへのアクセス権限を得る。

攻撃の標的となるデータには、ブラウザに保存された認証情報と Cookie、macOS Keychain のデータ、ならびに Brave、Vivaldi、Opera、Chrome、Firefox、Safari などのブラウザ拡張機能データが含まれる。窃取したデータは Telegram Bot API を通じて流出する。レポートでは、攻撃者が Telegram のボットトークン（OPSEC の失敗）を露出させており、行動の安全性が損なわれたことが指摘されている。

攻撃対象は主に、金融テクノロジーおよび暗号通貨業界、ならびに macOS が広く使用される高額な価値を持つ企業環境における開発者、幹部、意思決定者である。

Mach-O Man ツールキットの主な構成要素

Mauro Eldritch の技術分析によると、ツールキットは以下の主要モジュールで構成される。

teamsSDK.bin：初期投入器。Teams、Zoom、Google、またはシステムアプリケーションとして偽装し、基本的なシステム指紋認識を実行する

D1{ランダムな文字列}.bin：システム分析器。ホスト名、CPU タイプ、OS 情報、ならびにブラウザ拡張機能の一覧を収集し、それを C2 サーバーへ送信する

minst2.bin：永続化モジュール。偽装した「Antivirus Service」ディレクトリと LaunchAgent を作成し、毎回ログイン後に継続実行されるようにする

macrasv2：最終窃取器。ブラウザの認証情報、Cookie、macOS Keychain の項目を収集し、パッケージ化したうえで Telegram を通じて流出させ、さらに自己削除する

重要な侵害指標（IOC）要約

Mauro Eldritch が公開した IOC に基づく：

悪意のある IP：172[.]86[.]113[.]102 / 144[.]172[.]114[.]220

悪意のあるドメイン：update-teams[.]live / livemicrosft[.]com

重要なファイル（部分）：teamsSDK.bin、macrasv2、minst2.bin、localencode、D1YrHRTg.bin、D1yCPUyk.bin

C2 通信ポート：8888 と 9999；主に Go HTTP クライアントの User-Agent 特徴文字列を使用

完全なハッシュ値および ATT&CK マトリクスの詳細は、Mauro Eldritch の元の調査レポートを参照。

よくある質問

「Mach-O Man」ツールキットはどの業界や対象を狙う？

Mowmugu 23pds の警告および BCA LTD の調査によると、「Mach-O Man」は主に金融テクノロジーおよび暗号通貨業界、ならびに macOS が広く使用される高額な価値を持つ企業環境を対象とし、とりわけ開発者、幹部、意思決定者のグループを狙う。

攻撃者はどのように macOS ユーザーに悪意のあるコマンドを実行させる？

Mauro Eldritch の分析によれば、攻撃者は Telegram を通じて正規の会議招待として偽装したリンクを送信する。ユーザーを Zoom、Teams、または Google Meet のなりすまし偽サイトへ誘導し、macOS のターミナルでコマンドを実行して「接続問題を修復」するよう促すことで、悪意のあるソフトウェアのインストールを引き起こす。

「Mach-O Man」はどのようにデータ流出を実現する？

Mauro Eldritch の技術分析によると、最終モジュール macrasv2 はブラウザの認証情報、Cookie、macOS Keychain のデータを収集した後、それらをパッケージ化し、Telegram Bot API を通じて流出させる。同時に攻撃者は自己削除スクリプトを採用してシステムの痕跡を消去する。