JINX-0164 脅威アクター
これまで記録されていなかった脅威アクター「JINX-0164」は、仮想通貨関連組織を標的とした高度なサイバー攻撃を仕掛けており、採用を装ったソーシャルエンジニアリングと独自開発のmacOSマルウェアを用いてデジタル資産を盗み出している。少なくとも2025年半ばから活動しているこの金銭目的のグループは、開発者を重点的に攻撃対象としており、少なくとも1件の事例ではソフトウェアサプライチェーンへの侵害を実行したことが確認されている。
この攻撃キャンペーンは、巧妙な採用手法、マルウェアの展開、そしてCI/CD環境への深い侵入という、高度な組み合わせを実証するものです。攻撃者は従業員のワークステーションを侵害することで、開発インフラストラクチャやコード配布システムへと横方向に侵入することに成功し、侵入の範囲と影響を大幅に拡大させました。
目次
採用詐欺が侵入の入り口となる
JINX-0164は、LinkedInの巧妙なプロフィールを利用して、暗号通貨関連組織に所属する開発者や従業員に接触を試みます。被害者は、正規のビデオ会議プラットフォームを装った不正なドメイン上で開催される仮想会議に招待されます。
偽の会議設定プロセス中、標的は会議クライアントまたは技術的な修正プログラムと思われるものをダウンロードするように指示されます。実際には、ダウンロードされたファイルは、偽装されたドライバ配布ドメイン「apple.driver-store.com」から、AUDIOFIXと呼ばれるPythonベースのmacOS情報窃盗型リモートアクセス・トロイの木馬を取得することで、感染連鎖を開始します。
感染プロセスは、被害者のシステムアーキテクチャを識別できるbashスクリプトによって促進され、マルウェアはIntelベースとApple Siliconの両方のmacOSデバイスでシームレスに動作します。ペイロードは「coreaudiod」という名前のシステムオーディオドライバを装い、「ChromeUpdater」としてローカルに保存され、macOSのlaunchctlメカニズムを使用して起動され、永続性を維持します。
AUDIOFIXはシステムの深刻な侵害を可能にする
AUDIOFIXは一度展開されると、広範な認証情報窃盗および偵察活動を実行するとともに、内部インフラストラクチャへの横方向の移動も支援します。研究者らは、このマルウェアが開発システムに悪意のあるペイロードを注入し、ソースコードを改変して、追加のエンドポイントを侵害し、暗号通貨ウォレットの認証情報を収集しようとしていることを確認しました。
このマルウェアは、以下のような幅広い機密情報を盗み出す能力を持っています。
- パスワードマネージャーの認証情報、ブラウザデータ、iCloudキーチェーンファイル、SSHキー、管理者認証情報、コンソール履歴レコード、および構成ファイル
- 暗号通貨ウォレットアドレス、暗号通貨サービスにリンクされたブラウザ拡張機能データ、およびDiscord、Slack、Telegramのアクティブなセッション
AUDIOFIXは情報窃盗だけでなく、リモートコマンド実行、ファイル削除、ペイロード配信、偵察活動、感染システムからのデータ漏洩などもサポートしています。
MiniRATはサプライチェーンの悪用を通じて脅威を拡大する
この作戦のもう一つの主要な要素はMiniRATで、これは「@velora-dex/sdk」という名前の侵害されたnpmパッケージに関連付けられたGo言語ベースのバックドアです。このパッケージは、VeloraDEXプラットフォーム上でトークン交換、デルタ取引、指値注文に使用される正規の分散型金融ツールキットに関連付けられていました。
この悪意のあるバージョンのパッケージは、リモートサーバーからシェルスクリプトを取得し、最終的にmacOS専用のMiniRATバイナリをデプロイします。インストール後、このマルウェアは攻撃者がファイルをアップロードしたり、任意のシェルコマンドを実行したり、攻撃者が制御するインフラストラクチャから追加のペイロードをダウンロードしたりすることを可能にします。
JINX-0164は、偽の採用機会や、被害者に不正なソフトウェア修正プログラムのインストールを促す捏造された技術的問題など、ソーシャルエンジニアリングの手法を繰り返し用いてきた。この一貫した手法は、このグループが侵入の主要な手段として人間操作を重視していることを示している。
北朝鮮のサイバー作戦との関連性の可能性
このキャンペーンのいくつかの特徴は、BlueNoroff、Contagious Interview、UNC1069といった北朝鮮のサイバー脅威グループが過去に行っていた活動と類似している。研究者らは、標的のパターン、偽装ドメイン、Astrill VPNなどのVPNサービスの利用状況に類似点があることを指摘した。
こうした重複はあるものの、捜査当局はJINX-0164と北朝鮮の国家支援作戦を直接結びつけるインフラ上のつながりを確証できていない。現在のところ、決定的な帰属を示す証拠というよりは、作戦上の類似性を示唆するにとどまっている。
