MacOS Pythonインフォスティーラー
サイバーセキュリティの専門家たちは、情報窃取攻撃がMicrosoft WindowsからApple macOSエコシステムへと急速に拡大していることに警鐘を鳴らしています。脅威アクターはPythonなどのクロスプラットフォーム言語の利用をますます拡大し、信頼できるサービスや広告プラットフォームを悪用してマルウェアを大規模に拡散させており、攻撃対象領域が大幅に拡大しています。
目次
ソーシャルエンジニアリングがmacOSインフォスティーラー攻撃キャンペーンを活性化
2025年後半以降、ソーシャルエンジニアリングの手法を用いてmacOSユーザーを標的とした複数のキャンペーンが展開されており、中でもClickFixが顕著です。これらのキャンペーンは、Atomic macOS Stealer（AMOS）、MacSync、DigitStealerといった既知のmacOSインフォスティーラーファミリーを展開する悪意のあるディスクイメージ（DMG）インストーラーを配布します。これらのインストーラーの配布は、多くの場合、ユーザーに感染プロセスを手動で開始させることにかかっています。
macOSネイティブの悪用とステルス的なデータ盗難
これらの脅威は、実行されると、ファイルレス技術、macOSネイティブユーティリティ、AppleScriptの自動化などを利用して検出を回避し、データ収集を効率化します。窃取される情報には、ブラウザに保存された認証情報やセッションデータ、iCloudキーチェーンの機密エントリ、そしてさらなる侵害につながる可能性のある開発者関連の秘密情報などが含まれることが一般的です。
初期アクセスベクトルとしてのマルバタイジング
これらの攻撃チェーンの多くは、Google広告を通じて配信される悪意のある広告から始まります。DynamicLakeユーティリティや人工知能ツールなどの正規のソフトウェアを探しているユーザーは、偽装ウェブサイトにリダイレクトされます。これらのサイトでは、ClickFixというルアーが使用されており、被害者にコピー＆ペーストコマンドやインストーラーのプロンプトに従わせることで、マルウェアの自己感染を招きます。
Python Steererは迅速な適応を可能にする
Pythonベースのインフォスティーラーは、その柔軟性と異なるオペレーティングシステム間での再利用の容易さから、攻撃者にとって特に魅力的です。これらの脅威は、フィッシングメールを介して拡散されることが多く、以下のような幅広い機密資産を収集するように設計されています。
ログイン認証情報、セッションCookie、認証トークン、クレジットカード情報、暗号通貨ウォレットデータ
PXA Stealerとメッセージングアプリの悪用
注目すべき例として、ベトナム語圏の脅威アクターによるものとされるPXA Stealerが挙げられます。2025年10月と12月に確認されたキャンペーンでは、初期アクセスにフィッシングメールを利用し、レジストリ実行キーやスケジュールタスクを利用して永続性を維持していました。Telegramは、コマンドアンドコントロール通信とデータ窃取に使用されていました。また、脅威アクターはWhatsAppなどの一般的なメッセージングプラットフォームを武器化し、金融機関や暗号通貨のアカウントを標的とするEternidade Stealerなどのマルウェアを拡散させており、このキャンペーンは2025年11月に公表されました。
WindowsにおけるSEOポイズニングと偽ソフトウェア
インフォスティーラーの活動はmacOSだけにとどまりません。Crystal PDFなどの偽PDFエディターが、マルバタイジングや検索エンジン最適化（SEO）ポイズニングを通じて宣伝された、類似のキャンペーンも存在します。これらのWindowsを標的とした攻撃では、Mozilla FirefoxやGoogle ChromeからCookie、セッション情報、キャッシュされた認証情報を密かに抽出できる認証情報窃取ツールが展開されます。
インフォスティーラー攻撃に対する防御策
インフォスティーラーの脅威にさらされるリスクを軽減するために、組織は次のような階層化された防御とユーザー意識向上イニシアチブを実装することが推奨されます。
- マルバタイジングリダイレクトチェーン、不正インストーラー、ClickFixスタイルのプロンプトを認識するためのユーザートレーニング
- 異常なターミナルアクティビティ、iCloud キーチェーンへの不正アクセス、新規登録または異常なドメインへの疑わしい送信 POST リクエストを監視します。
インフォスティーラーの侵害によるビジネスへの影響
インフォスティーラー感染は、広範囲にわたる影響を及ぼす可能性があります。盗まれた認証情報やセッションデータは、データ侵害、社内システムへの不正アクセス、ビジネスメール詐欺、サプライチェーンへの侵入、そしてランサムウェアの展開といった後続攻撃につながる可能性があります。これらのリスクを抑えるには、プロアクティブな検知と教育が不可欠です。
