Group-IBのサイバーセキュリティ専門家による最近の発見は、GoldDiggerとGoldPickaxeと名付けられた二つの重大な脅威に光を当てました。これらのトロイの木馬は、iOSシステムに侵入し、顔認識の詳細や銀行口座情報を含むユーザーデータを危険にさらすことを目的として設計されています。

脅威を理解する

GoldDigger

当初Androidデバイス用に作られたこのトロイの木馬は、そのリーチをiOSに拡大し、モバイルセキュリティにおける懸念の発展を示しています。

特に警戒すべきは、iOS用に作られた最初のトロイの木馬であり、顔認識データ、IDドキュメント、SMSメッセージを収集する能力があることです。収集したデータをもとに、サイバー犯罪者はAIツールを使用してディープフェイクを生成し、被害者の銀行情報への不正アクセスを容易にします。

GoldPickaxe

GoldDiggerから進化したGoldPickaxeは、iOSユーザーに対する最新の脅威を代表します。

このトロイの木馬は、写真からの生体認証データの収集、SMSおよびWeb活動の傍受に焦点を当てています。このトロイの木馬は、銀行の代表者を装った悪意のある当事者がIDカードの写真などの追加の個人情報をフィッシングする能力を示しており、金融詐欺の可能性を高めています。

配布戦略

これらのトロイの木馬の最初の配布では Apple の TestFlight が利用され、App Store の厳格な審査プロセスが回避されました。

しかし、Appleの介入後、攻撃者は、主に企業デバイスの管理に使用されるモバイルデバイス管理(MDM)プロファイルを用いるという、より洗練されたアプローチに切り替えました。これらのプロファイルは、企業がシステムの多くの側面を自社のニーズに合わせてカスタマイズおよび制御することを可能にします。

しかし、ハッカーが行うことは、ユーザーに悪意のあるプロファイルをインストールさせ、App Storeの外部からアプリをダウンロードさせることによって、必要なすべてのデータを収集することです。

地理的焦点と進化

GoldDiggerとGoldPickaxeは、主にベトナムとタイのユーザーをターゲットにしており、50以上の金融機関のアプリを模倣して被害者をおびき寄せています。それでも、これらのトロイの木馬が活発に進化していることから、世界中のユーザーがこれらの脅威に対して警戒を怠らないようにすることが重要です。

デバイスを守るための積極的な対策

• アプリのインストールに注意する : 開発者を完全に信頼し、正当性を確認できる場合を除き、TestFlightを通じてアプリをインストールしないでください。App Storeからアプリをインストールし、開発者の信頼性を確認してください。
• MDMプロファイルに注意する : IT部門や認識された機関など、信頼できるソースから直接提供される場合にのみ、MDMプロファイルをインストールしてください。
• 個人情報を守る : 特に無作為に連絡があった場合は、任意の通信チャネルを通じて生体認証情報を含む機密データを共有することに注意してください。
• 直接金融問い合わせを行う : 銀行関連の懸念がある場合は、未知のソースから送られた番号やリンクを使用するのではなく、直接金融機関の公式ウェブサイトを訪れて状況を確認してください。
• ソフトウェアの更新 : 定期的に最新のバージョンにiPhoneを更新し、Appleの最新のセキュリティパッチを受け取るために、通常のリリースの間に到着するRapid Security Responseアップデートを含めてください。

(Via 9to5Mac.)

Eltimaのサーバーがハッキングされた後、FolxとElmedia Playerのダウンロードは、リモートアクセストロイの木馬のProtonに感染しました、Protonのバックドアは攻撃者がブラウザ情報、キーログ、ユーザー名、パスワード、macOSキーチェーンデータなどにアクセスできるようにします

Eltimaの広報担当者によると、ZDNetの電子メールでは、攻撃者がサーバ上のtiny_mce JavaScriptライブラリのセキュリティ侵害を利用した後、サーバが「ハッキング」された結果、マルウェアがダウンロードされてしまった

侵害されたソフトウェアは10月19日に発見され、同日午後3時15分（東部時間前）にEltimaからソフトウェアをダウンロードした顧客はマルウェアの影響を受ける可能性があります

次のファイルが感染したシステムで検索することが可能になります

/tmp/Updater.app/ –
– /Library/LaunchAgents/com.Eltima.UpdaterAgent.plist
– /Library/.rand/
– /Library/.rand/updateragent.app/

AppleとEltimaは、Protonに感染したソフトウェアバンドルの署名に使用された開発者IDを無効にしています.EltimaはAppleと協力して何が起こったのか把握しています

Eltimaによると、今後の攻撃を防ぎ、サーバーのセキュリティを向上させるための措置がとられているという。Elmedia PlayerとFolxのクリーンなバージョンはEltimaのウェブサイトから入手できます

マルウェアを駆除する唯一の方法は、完全なOSの再インストールです

画像元：Christian Steiner for fkickr
(Via MacRumors.)

トロイの木馬

2017年5月2日から2017年5月6日（UTC）にビデオコンバータ「HandBrake」をダウンロードしたMacユーザーはマルウェアのために、必ずシステムをチェックする必要があります

ダウンロードサーバの一つは、開発者がトロイの木馬を配布しました

HandBrakeチームが言うように感染していれば、macOSの 「アクティビティモニタ.app」で検索すると、システムが感染していることを示す「Activity_agent」が表示されます

影響を受けたユーザーは、そのmacOSのiCloudキーチェーンのパスワードに格納されたデータを変更する必要があります

現在は、公式のダウンロードサーバの「HandBrake」は修正されたコピーに置き換えられています

画像元：ifun.de
(Via ifun.de.)

対応方法

「HandBrake」フォーラムで確認すると

「アプリケーション」>「ユーティリティ」の「ターミナル.app」を起動し

• launchctl unload ~/Library/LaunchAgents/fr.handbrake.activity_agent.plist
• rm -rf ~/Library/RenderFiles/activity_agent.app
• if ~/Library/VideoFrameworks/ contains proton.zip, remove the folder

その後に、インストールした “HandBrake.app”インストールをすべて削除

その後、影響を受けたユーザーは、そのmacOSのiCloudキーチェーンのパスワードに格納されたデータを変更する


さいきんやたら、この手の問題が起きているようです、十分に気を付けましょう


では、では・・・

Gatekeeper機能をバイパスし特に心配

MacOSユーザーを対象とした「大規模」マルウェアの新しい亜種であるOSX / Dokは、悪意のあるソフトウェアをブロックするよう設計されたGatekeeper機能をバイパスできます

新しく発見されたトロイの木馬は、偽のソフトウェアアップデートをインストールするまであなたのMacで何もしないようにしますが、多くのウイルス対策プログラムでは検出されません

macOSユーザベースが成長するにつれて、それをターゲットとするマルウェアも増加しています

McAfee Labsによると、Macコンピュータ用に設計されたマルウェア攻撃は2016年に744％増加し、約46万のサンプルが発見されました

最新のものは特に心配です

チェック・ポイントのセキュリティ調査によって明らかにされたOSX / Dokは、MacOSとOS Xのすべてのバージョンにヒットすることができます

最初に発見されたウイルス対策データベースでは認識されず、Macユーザーを対象とする最初の「主要なマルウェア」と見なされます

すべてのMacを対象とするOSX / Dokマルウェア

このマルウェアの最も面倒なところはAppleが認証した有効な開発者証明書で署名されており、証明書は2017年4月21日付です

つまり、macOSは脅威とみなさず、Gatekeeperによってブロックされません

OSX / Dok Macマルウェアのしくみ

それを開くと、マルウェアは自分自身を/ Users / Sharedフォルダにコピーし、自動的に実行されます

また、「ダウンロード」フォルダから元のダウンロードのトレースを削除し、「開けませんでした」というファイルをユーザーに納得させるエラーメッセージを表示します

感染したMacが起動してペイロードが正常にインストールされるまで、毎回実行されます

このポップアップを受け取ったら、偽のアップデートをインストールすることに同意するまで、Macで何もできません

もちろん、パスワードを入力するとマルウェアに管理者権限が付与され、攻撃の次の段階を続けることができます

OSX / Dok Macのトロイの木馬は何をするのか？

ユーザーのトラフィックは、攻撃者が管理するプロキシ経由でリダイレクトされ、Man-In-the-Middle攻撃を行い、ユーザーがサーフィンを試みるさまざまなサイトを偽装します

攻撃者は、被害者のトラフィックを自由に読んだり、何らかの方法でそれを改ざんしたりすることができます

攻撃者が必要な情報を取得すると、マルウェアは感染したマシンから自身を削除します。ユーザーは、遅すぎるまでバックグラウンドで何が起こっているか分かりません

配布方法

マルウェアは主にヨーロッパでフィッシングメールによって配布されています

このフィッシングメールは、納税申告の矛盾を詳細に記述したファイルをユーザにダウンロードさせるものです、そのファイルはドイツのユーザーに配布されるときに “Dokument.zip”という名前になります

画像元：Check Point
(Via The Hacker News. Check Point.)

とにかく、知っている人からでも知らない「Zipファイル」は開かないことが大切です


では、では・・・

INDEX

• Gatekeeper機能をバイパスし特に心配
  • すべてのMacを対象とするOSX / Dokマルウェア
  • OSX / Dok Macマルウェアのしくみ
  • OSX / Dok Macのトロイの木馬は何をするのか？
  • 配布方法

  • ❑ Anti Flashback-Trojan 1.0.1

  60万台のMacが感染、日本ではその0.1％の数のMacが感染していると云われる「Flashback」に感染しているかどうかを簡単に調べる事が出来る。

  
  

  —– Ad 3 —–
  
  
  ———-

  ターミナルから調べて、感染していた場合は除去する方法を「Macの手書き説明書」さんが詳しく書かれています。

  60万台以上が感染しているトロイの木馬「Flashback」に感染しているか調べる方法 | Macの手書き説明書
  ターミナルを使える方は、こちらの方法で
  

  ターミナルはよく解らないと言う方は「Anti Flashback-Trojan 1.0.1」を利用すると感染を調べる事が出来ます。

  Moritz Wette – Developer Website
  「Anti Flashback-Trojan 1.0.1」のダウンロードは、こちらから。
  

  ]]> https://minatokobe.com/wp/os-x/mac/%e3%80%90mac%e3%80%91%e3%83%9e%e3%83%ab%e3%82%a6%e3%82%a7%e3%82%a2%e3%80%8cflashback%e3%80%8d%e3%81%ae%e6%84%9f%e6%9f%93%e3%82%92%e7%b0%a1%e5%8d%98%e3%81%ab%e8%aa%bf%e3%81%b9%e3%82%8b%e3%80%8canti-fla.html/feed 10