このような状況で、Appleが提供する無料のセキュリティ機能であるGatekeeperとXProtectは、本当にMacを守ることができるのでしょうか。

今回、Macworldが実際に130を超えるマルウェアサンプルを使用してmacOS 15.6.1の標準セキュリティ機能を検証した結果をお伝えします。

macOSの標準セキュリティシステムについて

Gatekeeperとは何か

GatekeeperはmacOSの中核となるセキュリティシステムです。主な機能は以下の通りです。

コード署名検証では、開発者によってデジタル署名されたアプリケーションのみの実行を許可します。Mac App Store認証では、Mac App Storeで承認されたアプリケーションの安全性を確保しています。

さらに、未署名アプリケーションの警告機能により、不明な開発者からのソフトウェアに対して多段階の警告を表示します。そして自動隔離機能によって、疑わしいソフトウェアを自動的に隔離してゴミ箱に移動させるのです。

XProtectとの連携システム

XProtectはAppleのマルウェア検出エンジンで、やはり重要な役割を果たしています。

既知マルウェアデータベースは定期的に更新されるマルウェア定義ファイルを持ちます。リアルタイム保護では、ファイルのダウンロードや実行時に自動スキャンを実行します。バックグラウンド処理により、ユーザーに気づかれることなく動作し続けます。そして自動削除機能によって、検出されたマルウェアの自動削除とクリーンアップを行うのです。

XProtectのアップデートは、[システム設定] > [一般] > [ソフトウェアアップデート] > [自動アップデート] 横の[ i ]をクリックし、[セキュリティ対応とシステムファイルをインストール]を有効にします。これで自動的にアップデートが行われます。

アップデートの確認方法は、[システム設定] > [情報]> [システムレポート]> [ソフトウェア]> [インストール]> [インストール日]を降順に表示し、ソフトウェア名の列を確認し「XProtect」名が付いたソフトウェアを確認しますます。

これを見ると、昨日の9月24日にアップデートがインストールされている事が確認できます。

実際の検証実験について

テスト環境の詳細

今回の検証では、macOS 15.6.1 SequoiaをインストールしたMacBook Proを使用しました。テストに使用したマルウェアサンプルは、Objective-See Mac Malware Collectionから130以上を選定しています。

ただし、より正確な結果を得るために、サードパーティのセキュリティソフトウェアは全て削除した状態で実験を行いました。

テスト結果で見えた成功例

自動防御機能の効果

まず、偽Adobe Flash Playerの処理について説明します。2つの偽Flash Playerが一時的にインストールされましたが、Gatekeeperが自動的に検出・削除を実行しました。これはユーザーの手動操作なしで完全に除去されたのです。

次に、疑わしいソフトウェアの隔離では、多くのマルウェアがダウンロード時点で隔離され、実行前にゴミ箱へ自動移動されました。さらに、複数の警告メッセージでユーザーに危険性を通知してくれます。

また、多層防御システムでは、ダウンロード時、実行時、インストール時の3段階でチェックが行われます。各段階で詳細な警告が表示され、段階的な権限要求システムが働くのです。

実際に検出された脅威

検証中に検出された具体的な脅威をご紹介します。NRKIH88トロイの木馬はバックグラウンド機能として動作を試みました。MacSecurityスイートは偽のセキュリティソフトウェアとして侵入を図りました。そしてLamePyreマルウェアは、Discord偽装アプリとして音声・映像データへのアクセスを要求してきたのです。

テスト結果で分かった問題点と限界

ユーザーによる警告の無視

正直言って、実験では警告を無視し続けることで以下のような重大な侵害が発生してしまいました。

システム機能への不正アクセス許可では、マイクロフォンへのアクセス権限が付与され、ウェブカメラの使用が許可されました。さらに、キーストロークデータの取得権限まで与えてしまい、ブラウザ設定も改変されてしまったのです。検索エンジンやホームページが勝手に変更されてしまいました。

アプリケーションフォルダへの直接インストール

とはいえ、警告なしでインストールされてしまった問題のあるソフトウェアもありました。MixPad、Free Download Manager、Wondershare、Movavi Screen Recorder（フォトライブラリへのフルアクセス）、Spedal、VideoPad、そしてBitTorrentクライアントのVuzeやBigly BTなどです。

最終的な被害状況

実験の最終段階では、Safariのホームページが薬物販売サイトに変更されてしまいました。MacSecurityスイートによる偽のウイルス感染通知が表示され、重要なシステム機能へマルウェアのアクセスを許可してしまったため、オンラインバンキングや機密情報へのアクセスが危険な状態になったのです。

セキュリティ評価と推奨事項

Gatekeeperの効果的な側面

優秀な基本防御について説明します。明らかなマルウェアに対しては高い検出率を示し、自動隔離と削除機能の信頼性も確認できました。多段階警告システムは有効に働き、バックグラウンドでの継続的監視も機能しています。

ユーザビリティとセキュリティのバランスも良好です。過度に制限的でない適切なレベルの保護を提供し、正当なソフトウェアの使用を妨げない柔軟性があります。何より無料で標準搭載される利便性は大きなメリットでしょう。

限界と懸念事項

ただし、人的要因の脆弱性は無視できません。警告を無視するユーザーに対してはシステムが無力になってしまい、段階的な権限付与による危険性の蓄積も問題です。さらに、社会工学攻撃への対応は不足していると言えるでしょう。

検出の抜け穴も存在します。一部のグレーウェアに対して寛容すぎる面があり、署名済みだが問題のあるソフトウェアが通過してしまう場合もあります。アップデートによって安全になったソフトウェアの過去バージョンの扱いも課題です。

実用的な推奨事項

一般ユーザー向けの対策

基本的な安全行動として、Mac App Storeからのダウンロードを優先することをお勧めします。信頼できる開発者からのソフトウェアのみを使用し、システム警告を真剣に受け止めることが大切です。

追加の保護措置では、Time Machineバックアップの定期実行が欠かせません。システムアップデートは適時実行し、怪しいウェブサイトからのダウンロードは避けるべきでしょう。

セキュリティ重視ユーザー向けの対策

サードパーティセキュリティソフトの検討をお勧めします。機密データを扱う環境では追加保護が必要で、より包括的なマルウェア検出とリアルタイムWebフィルタリングが有効です。

高度なセキュリティ設定として、Gatekeeperの最も制限的な設定を使用し、システム整合性保護（SIP）を維持してください。管理者権限は慎重に使用することが重要です。

まとめ

macOSのGatekeeperとXProtectは、標準的な脅威に対して効果的な保護を提供する優秀なセキュリティシステムです。130を超えるマルウェアサンプルを用いた検証では、システムの基本設計が堅牢であることが確認できました。

しかし、決定的な弱点は「人的要因」にあります。警告を無視し続けるユーザーに対しては、どのようなセキュリティシステムも無力になってしまうのです。この実験では、意図的に全ての警告を無視することで、重要なシステム機能への不正アクセスを許可し、最終的にはシステム全体のリカバリが必要になりました。

結論として、Mac App Storeと信頼できる開発者からのソフトウェアのみを使用し、システム警告に注意を払う一般的なユーザーにとって、Gatekeeperは十分な保護を提供します。一方、機密データを扱う環境や、より包括的な保護を求めるユーザーには、サードパーティセキュリティソフトウェアの併用をお勧めします。何よりも重要なのは、定期的なTime Machineバックアップの実行です。

技術は進歩し続けていますが、セキュリティの最も重要な要素はやはり「ユーザーの判断力」でしょう。Appleの無料セキュリティ機能は優秀ですが、それに頼りきりになることなく、常に注意深い行動を心がけることが大切なのです。

出典：
I infected my Mac with malware to test Apple’s free antivirus tools – Macworld

特に最新の「Shamos（シャモス）」と呼ばれるマルウェアは、これまでの手法を巧みに利用しつつ、Macユーザーを標的にしており、注意が必要です。

Shamos：ClickFix型攻撃が引き起こす新たな脅威

Shamosは、いわゆるClickFix攻撃の一種として登場したmacOS向けの情報窃盗マルウェアです。Bleeping Computerの報告によると、ShamosはAMOS（Atomic macOS Stealer）の亜種であり、「COOKIE SPIDER」と呼ばれるサイバー犯罪グループによって開発されました。

このマルウェアは、ガイドやマニュアル、トラブルシューティングツールなどになりすましてユーザーを欺き、悪意あるソフトのダウンロードを誘導します。これにより、ブラウザの認証情報、Keychain（キーチェーン）、Apple Notes（メモアプリ）、暗号資産ウォレットなどの機密データが流出します。

さらに、CrowdStrikeによれば、2025年6月以降、Shamos を使用した攻撃が監視対象の環境で300件以上確認されており、ClickFix型の手法（malvertising や偽の GitHub リポジトリを経由し、macOS のターミナルでシェルコマンドの実行を迫る）で感染を広げているとのことです。

Shamos以外にも広がるmacOSへの攻撃：Atomic Stealerなど

Shamos以外にも、現在 macOS をターゲットとする深刻なマルウェアが複数存在します。たとえば、Tom’s Guide は2025年5月に「Atomic Stealer」というマルウェアの攻撃にも警鐘を鳴らしており、悪用される手法として偽の認証（reCAPTCHA）ポップアップを利用するClickFix型の攻撃が報告されています。

さらに、同じAtomic Stealerはマルウェア・アズ・ア・サービス（MaaS）として提供されており、月額数千ドルを支払うことで犯罪者が利用できることも確認されています。

2025年7月には、Moonlock（MacPawのセキュリティ部門）により、再起動後も生き残るバックドア機能を持つ新バージョンが確認され、その危険性がさらに高まっています。

なぜ今、macOSユーザーも警戒が必要なのか？

かつては macOS はセキュリティ的に比較的安全と見なされていましたが、状況は変化しています。2024年には22種類もの新しい macOS 向けマルウェアファミリーが確認され、セキュリティ研究者がその急増を指摘しています。それでも、これらのマルウェアがユーザーの行動（フィッシングや怪しいリンクのクリック）を巧みに利用する点は変わりません。

また、2025年6月には Apple、Google、Facebook などを含む大規模なデータ流出も発覚し、Infostealer によって収集された認証情報が大量に悪用されるリスクが高まっています。

対策：Shamos も Atomic Stealer も怖くない？

最悪の被害を防ぐために、以下のような対策を積極的に取り入れることを推奨します：

• 信頼できないサイトやプロンプトを介してターミナルにコマンドを貼り付けない
• ソフトウェアは公式ストアまたは正規の配布元のみ利用する
• macOS や XProtect などのセキュリティを常に最新状態に保つ
• 追加のサードパーティ製アンチウイルス（例：Bitdefender、Intego）を併用する
• 2要素認証（2FA）やパスキーの導入、パスワード管理ツールの活用
• 怪しい行動を伴うフィッシングやソフト受信には慎重に対応する

Macだからと油断せず、防衛を強化せよ

macOS は依然として強固なセキュリティ機能を備えていますが、Shamos や Atomic Stealer のような進化したマルウェアの登場は、もはや macOS ユーザーも標的に含まれていることを示しています。特に ClickFix 型の攻略手法は、ユーザー心理に訴えかける巧妙さがあります。

最大の防衛は「日々の注意と習慣」です。公式以外からのソフトのインストールを避け、OS やセキュリティソフトのアップデートを怠らず、万一の事態に備えて2FAやパスワード管理を確実に行いましょう。それにより、Shamos をはじめとする悪質な攻撃からデバイスと大切な情報を守ることができます。

(Via Tom’s Guide.)

しかし、最近の調査で、この信頼を揺るがすような事態が明らかになりました。セキュリティ企業のKasperskyの研究者たちが、AppStoreに公開されているアプリの中から、ユーザーの画像データを不正に読み取るマルウェアを発見したのです。

新種のマルウェアの特徴と危険性

この新しく発見されたマルウェアは、「SparkCat」と名付けられ、その特徴的な動作方法が明らかにされています。このマルウェアは、ユーザーの写真ライブラリにアクセスし、OCR（光学文字認識）技術を使用して画像内のテキストを読み取ります。特に暗号通貨ウォレットのリカバリーフレーズを探索することを主な目的としています。

このような手法が特に危険である理由は、多くのユーザーが重要な情報をスクリーンショットとして保存する習慣を持っているためです。パスワードやアカウント情報、個人的なメモなど、センシティブな情報が写真ライブラリに保存されている可能性は決して低くありません。

感染の実態と対象アプリ

現在判明している感染アプリには、食事配達サービスのComeComeや、AI会話アプリのAnyGPT、WeTinkなどが含まれています。

特に懸念されるのは、これらのアプリの中には、開発者自身が意図せずにマルウェアを組み込んでしまったケースと、故意に悪意のあるコードを含めたケースの両方が存在する可能性があることです。

マルウェアの技術的な実装には、GoogleのML Kitライブラリが使用されており、これは正当なOCR機能を提供するために広く使用されているツールです。しかし、この場合は悪意のある目的で使用され、認識されたテキストは特定のキーワードと照合された後、外部のサーバーに送信されるという仕組みになっています。

ユーザーを守るための対策

このような脅威から身を守るために、いくつかの重要な対策を講じることができます。まず、アプリをインストールする際は、そのアプリの評価やレビュー、開発者の信頼性を慎重に確認することが重要です。

また、重要な情報をスクリーンショットとして保存する習慣は見直し、よりセキュアな方法でパスワードなどの機密情報を管理することを推奨します。

特に暗号通貨関連の情報については、専用のセキュアなウォレットアプリや、物理的な記録媒体を使用して管理することが望ましいでしょう。また、定期的にインストール済みアプリの権限設定を確認し、必要以上の権限を要求しているアプリについては、使用を見直すことも重要です。

AppStoreのセキュリティと今後の展望

この事例は、AppStoreの審査プロセスにも改善の余地があることを示しています。Appleは常にプラットフォームのセキュリティ向上に努めていますが、マルウェアの手法は日々進化しており、完璧な防御は困難です。

このような状況下で、ユーザー自身がセキュリティに対する意識を高め、適切な予防措置を講じることがますます重要になってきています。今回の発見を機に、モバイルセキュリティに関する議論がさらに活発化し、プラットフォームとユーザー双方のセキュリティ対策が強化されることが期待されます。

(Via 9to5Mac.)

Appleは、macOSの防御メカニズムを強化するために、サードパーティのソフトウェアを使用せずにマルウェアを検出・駆除するXProtectスイートを提供しています。

XProtectとYaraルールについて

2009年にmacOS X 10.6 Snow Leopardで導入されたXProtectは、その登場以来、長い道のりを歩んできました。XProtectは当初、インストールファイルにマルウェアが含まれていることをユーザーに警告するために設計されましたが、最近になって大幅な改良が加えられました。

2022年4月にマルウェア除去ツール（MRT）が廃止され、Mac上で脅威を検出して除去する、より高性能なネイティブのマルウェア対策コンポーネントであるXProtectRemediator（XPR）への道が開かれました。

XProtectの検出機能の中心はYaraルールです。Yaraは、コードやメタデータに含まれる特定の特徴やパターンに基づいて、マルウェアを含むファイルを識別するオープンソースのツールです。Yaraルールの汎用性により、Appleを含む組織や個人は、独自のカスタムシグネチャを作成して利用することができます。

macOS 14 SonomaのXProtectスイート

macOS 14 SonomaのXProtectスイートは、3つの主要コンポーネントで構成されています：

1. XProtect アプリ： 1.XProtectアプリ：アプリの起動、シグネチャの変更、更新時にYaraルールを使用してマルウェアを検出します。
2. XProtectRemediator（XPR）： Yaraルールによる定期的なバックグラウンドスキャンにより、CPU使用率への影響を最小限に抑えながら、マルウェアをプロアクティブに検出・除去します。
3. XProtectBehaviorService（XBS）： 最新のmacOSバージョンで追加されたXBSは、重要なリソースに関連するシステムの動作を監視します。

XProtectの難読化されたマルウェア名の解読

XProtectが識別できる特定のマルウェアを理解する上での1つの課題は、Appleが一般的な内部命名スキームを使用していることです。

一部のYaraルールには、Pirritアドウェアを検出するためのXProtect_MACOS_PIRRIT_GENのような明白な名前がついていますが、ほとんどのルールでは、XProtect_MACOS_2fc5997のような一般的な名前や、XProtect_snowdriftのような内部シグネチャが使用されています。

Sentinel One LabsのPhil StokesやAldenのようなセキュリティ研究者は、これらの難読化されたシグネチャを、ベンダーによって使用され、一般的なマルウェアスキャナーで検出されるより一般的な名前にマッピングする作業に取り組んできました。彼らの努力により、XProtectが効果的に検出・除去できるマルウェアが明らかになりました。

マルウェアの脅威：XProtectで除去できるもの

XProtectアプリ自体は脅威の検出とブロックしかできませんが、XPRのスキャンモジュールは除去を担当します。

現在、XProtectの現行バージョン（v133）に搭載されている23のリメディエーターのうち、14のリメディエーターを確認することができます。主な例としては、以下のようなものがあります：

• Adload： 2017年以降、macOSユーザーを標的にしているアドウェアおよびバンドルウェアローダー。
• ColdSnap： 朝鮮民主主義人民共和国（DPRK）発祥とされるリモートアクセス型トロイの木馬（RAT）であるSimpleTeaマルウェアのmacOS版を標的としている可能性が高いです。
• Crapyrator： 2024年2月に発見された、macOSユーザを大規模に感染させるマルウェアキャンペーン。
• DubRobber：XCSSETとしても知られる、厄介で多用途なトロイの木馬です。
• KeySteal： 2021年に初めて観測され、2023年2月にXProtectに追加されたmacOS情報窃取ツール。
• Pirrit： Pirrit: 2016年に初めて確認されたmacOSのアドウェアで、ポップアップ広告を表示し、プライベートなユーザーブラウザデータを収集することで知られています。

MacでのXProtect へのアクセス

XProtectは、macOSのすべてのバージョンでデフォルトで有効になっており、システムレベルで実行されるため、ユーザーの介入は必要ありません。XProtectのアップデートは自動的に行われます。Mac上でXProtectを見つけるには：

1. Macintosh HD > Library > Apple > System > Library > CoreServicesに移動します。
2. XProtectを右クリックし、”パッケージの内容を表示 “を選択します。
3. Contents “を展開し、”MacOS “を開きます。

XProtectは既知の脅威に対する強力な防御策を提供しますが、ユーザーはXProtectに全面的に依存しないことが重要です。

より高度で巧妙な攻撃は、検出を回避する可能性があります。XProtectをサードパーティのマルウェア検出・除去ツールで補完することが、包括的なセキュリティ戦略のために強く推奨されます。

(Via 9to5Mac.)

マルウェアの世界で何が起きているのか？

macOSマルウェアは、サイバー犯罪者の注目を集めています。サイバー犯罪者たちは、macOSを格好の標的と見なすようになっています。しかし、すべてのマルウェアが私たちを直接脅かすわけではありません。最近登場した “Turtle “ランサムウェアはその一例です。

Objective-SeeのPatrick Wardle氏は最近、この新しいマルウェアを分析しました。興味深いことに、このマルウェアはランサムウェアのすべての要素を備えていますが、まだ大惨事を引き起こすには至っていません。

なぜ 「Turtle 」？

「Turtle」という名前は、Goで書かれたコードに由来します。”Turtlerans “や “TurmiRansom “といったコードや、”TurtleRansom “という接頭辞のついたファイルから、この名前が付けられました。

マルチプラットフォームの脅威

このランサムウェアはプラットフォームにこだわりません。Windows、Linux、macOS向けにコンパイルされています。しかし、macOSのファイルはMach-O実行可能ファイルであり、IntelとApple Silicon Macの両方に対応しています。もともとはWindows用に開発されましたが、現在はmacOSに照準を合わせています。

セキュリティーについて

私たちMacユーザーにとって興味深いのはここからです。このマルウェアは署名されているため、技術的にはmacOS上で実行可能です。しかし、公証されていないため、セキュリティ設定に手を加えているか、エクスプロイトを経由して展開されていない限り、macOS Gatekeeperがマルウェアを阻止するはずです。

ランサムウェアの分解

ランサムウェアのセットアップは非常にシンプルです。暗号化にはGo crypto/AESライブラリを使用しているため、キーを傍受するのは簡単です。Wardle氏は復号化ツールを作成し、テストに成功しました。

Macユーザーにとっての朗報

ほとんどの場合、私たちは「Turtle」ランサムウェアについて心配する必要はありません。GatekeeperとAppleのランサムウェアに対する積極的な対策（SIPや読み取り専用システムボリュームなど）のおかげで、一般的なユーザーはかなり守られています。

安全を保つために

Macを「Turtle」ランサムウェアから守るには、コンピューティングの衛生管理を徹底しましょう。Gatekeeperのプロンプトに注意を払い、信頼できるソースからソフトウェアをダウンロードし、電子メールの添付ファイルには注意してください。

オンラインでの常識は、ランサムウェアであろうとなかろうと、ほとんどの人を安全に保ちます。

(Via Apple Insider.)

INDEX

• Macユーザーを標的にするよう特別に設計
• Atomic macOS Stealerを理解する
• AMOSの手口
• AMOSからMacを守る方法

Macユーザーを標的にするよう特別に設計

最近、Atomic macOS Stealer（AMOS）という強力なマルウェアがデジタル世界に出現しています。

このマルウェアは、Appleユーザーを特にターゲットとしており、Mac愛好者の大きなコミュニティにとって大きな懸念となっています。最新の発見では、AMOSが悪意のあるGoogle検索広告に浸透していることが明らかになっています。このマルウェアを理解し、どのようにしてデバイスを守ることができるのか？

Atomic macOS Stealerを理解する

Atomic macOS Stealer(通称AMOS)は、サイバーセキュリティの世界で波紋を広げている新しいマルウェアの一つです。その主なターゲットはAppleユーザーであり、ほとんどの悪意のあるキャンペーンがWindowsユーザーを対象としている中で、AMOSは特に注目されています。しかし、AMOSは、WindowsとMacの両方のシステムを標的にすることができるという点で際立っていいます。

AMOSに感染したMacデバイスは、その結果が壊滅的である可能性があります。マルウェアは、iCloud Keychainのパスワード、クレジットカードの詳細、ファイル、さらには暗号ウォレットまで、機密データを盗む能力を持っています。

AMOSの手口

最近のAMOS感染の増加は、「不正広告キャンペーン」と呼ばれるものに起因しています。簡単に言えば、Googleの検索で表示される悪意のある広告がMacユーザーをターゲットにしています。

これらの広告は、ユーザーをフィッシングサイトに誘導し、彼らに本物と信じてアプリをダウンロードさせます。しかし、これらのアプリにはマルウェアがバンドルされており、アドホック署名が施されているため、アップルはマルウェアを取り消すことができない。配信されるペイロードは、macOS向けのAtomic Stealerの新バージョンです。

Malwarebytesの研究によれば、Googleの厳格な広告品質チェックを回避するために、脅威行為者は侵害された広告アカウントを使用している可能性があります。これらのアカウントは、ユーザーをフィッシングサイトにリダイレクトする広告を購入するために使用されます。

AMOSからMacを守る方法

この迫る脅威の中での希望の光は、AMOSからMacを保護することが完全に実現可能であるということです。以下は、取ることができるいくつかのステップです：

• 信頼されていないソースからのダウンロードを避ける: 未知または信頼されていないソースからのソフトウェアのダウンロードを控えてください。
• GateKeeperの保護に注意: アプリがmacOS GateKeeperの保護をバイパスするように求める場合は注意が必要です。
• Webサイトの真正性を確認: AppleのMac App Storeの外でアプリをダウンロードしたい場合は、ウェブサイトが作成された日時を確認してください。

マルウェアやアドウェアがないか確認したいMacユーザーのために、Malwarebytesは個人ユーザー向けの無料アプリを提供しています。

(Via 9to5Mac.)

Appleのセキュリティツールの多くがそうであるように、このツールはサイレントモードで動作し、定期的なスキャンやその結果を直接ユーザーに知らせることはありません

macOS Venturaを使用している場合、XProtect Remediatorのスキャンを確認する方法は2つあります

• Catalina to Montereyでも利用できるUnifiedログ内のエントリ
• アプリケーションがシステムイベントを監視し、悪意のある活動の可能性を確認できるmacOS 10.15で導入されたAPI、Endpoint Securityを使用する方法

以前のバージョンのmacOSでは、悪意のある可能性のあるイベントを豊富にサポートしており、Objective-SeeのBlockBlockやさまざまな商用製品など、すでにいくつかのサードパーティ製のセキュリティ製品がこれらを監視しています

macOS Venturaで導入されたEndpoint Securityの追加機能の中には、es_event_xp_malware_detected_tとes_event_xp_malware_remediated_tという2つの構造体があり、XProtect Remediatorによる既知のマルウェアの検出と修復に関する情報を含んでいます

これらはまだセキュリティ製品で使用されていないようですが、Appleのドキュメントでは、ログ内のエントリとは異なり、スキャンでマルウェアが検出または修復された場合にのみ生成されることを示唆しています

Appleはユーザー向けに独自のEndpoint Securityユーティリティを提供していいませんが、イベントを標準出力または eslogger の統合ログに記録するコマンド ツールを提供しています

これはアプリケーションで使用されることを意図しておらず、適切なEndpoint Securityアプリケーションの機能を提供するものでもありませんが、ユーザーはAPIのイベントにアクセスすることができます

esloggerは現在 82種類のイベントをサポートしており、以下のコマンドでリストアップできます

eslogger–list-events
その中には、API の XProtect Remediator イベントに対応する xp_malware_detected と xp_malware_remediate の 2 つがあります。 これらは、次のようなコマンドを使用してテキスト ファイルにキャプチャできます

sudo eslogger xp_malware_detected xp_malware_remediated >>eslogout.txt
man eslogger は、その親プロセスが、[システム設定] >[プライバシーとセキュリティ]でフルディスクアクセスを許可する必要があることを指摘していてくれます

XProtect Remediatorのスキャンを監視する手段として、これは有用性が限られており、スキャンはユーザーが活動していない時間帯 (多くの場合深夜) に実行される傾向があります

現在、ここでの毎日のスキャンは午前0時以降の時間に行われており、レポートが他の場所よりもログに保存される方が便利です

XProtect Remediatorアクティビティをチェックする3つのユーティリティをThe Eclectic Light Companyは提供しています

• SilentKnightは、過去24時間のスキャンレポートを定期的にチェックし、報告されたスキャンの数、疑わしい可能性のあるスキャン (否定的ではない) があるかどうかを示します



• Mintsは、ボタン1つで過去24時間のスキャン・レポートの一覧を確認できます。
• XProCheck は、30日前までのログ記録を検査し (利用可能な場合)、検出されたすべてのレポートの完全なリストを提供します

少なくとも現時点では、XProtect Remediatorのログエントリは、Endpoint Securityを通じて報告されるイベントよりもかなり有益なものです

(Via The Eclectic Light Company.)

3月にmacOS 12.3にXProtect Remediatorが登場するまで、マルウェア対策のシステムツールは基本的にXProtectとMRTに限られていました、XProtectは主に、隔離フラグが設定されているアプリやその他のコードを、既知のマルウェアのシグネチャのリストと照合し、検知することしかできませんでした

Apple はより頻繁にチェックするように範囲を広げ、これらの署名を数週間ごとに更新し続けていますが、それらには限界があります

MRTは、既知のマルウェアの検出と削除の両方のスキャンを実行しました。最も顕著なのは起動直後ですが、頻繁ではありません

XProtect Remediatorは、検出されたマルウェアのスキャンと修復の両方を行う実行コードモジュールで構成されています、現在のところ、以下のようなものがあります

• Adloadは、不要なアドウェアや PUP をダウンロードすることで知られる固有のトロイの木馬
• DubRobber は、XCSSET としても知られる厄介で用途の広いトロイの木馬ドロッパーです
• マルウェア対策製品の無害な標準テスト「Eicar」
• Genieoは、アドウェアとして機能するブラウザ・ハイジャッカー
• GreenAcreは、Aoole社内の名称
• MRTv3は、Apple社独自のマルウェア修復ツールを指す
• Pirritは、悪意のあるアドウェア
• SheepSwapは、Appleの内部名称
• SnowBeagleは、Apple社内の名称
• JamfのStuart Ashenbrenner氏がCloudMensisとして特定されたSnowDrift、ESETが最初に同定したスパイウェア
• ToyDropは、Apple社内部での名称
• Troviは、クロスプラットフォーム・ブラウザ・ハイジャッカー
• WaterNetは、Appleの内部名称

これらは、XPCサービスであるXProtectPluginServiceによって制御され、ほとんどの定期的なバックグラウンドタスクと同じようにDAS-CTSシステムを使用してスケジュールおよびディスパッチされています

XProtect Remediatorで特徴的なのは、ディスパッチされたタスクが異なるスキャンモジュールを選択し、実行することです、したがって、どのモジュールがいつ実行されたかを知る唯一の方法は、ログを見ることです、幸いなことに、ログ検索述語サブシステムを使えば簡単です

subsystem == “com.apple.XProtectFramework.PluginAPI”

を使用することで、XProtect Remediatorのスキャンのオーケストレーターであることがわかります、Monterey 12.5.1が動作するMacで24時間365日スリープ無しでこれを使用すると、典型的な1日のスキャンアクティビティは次のようになります

DubRobber (XCSSET) スキャナーが最も頻繁に実行され、ユーザーの活動が少ない時間帯に1～2時間おきに15～35秒のスキャンを実行しています

その他のスキャンには、以下のモジュールが含まれます

• Adloadは、毎日1回程度、8秒間スキャンします
• GreenAcre 1.2秒間、1回
• Pirrit 0.5秒間、1回
• SheepSwap 5秒間、1回
• SnowBeagleが10秒間、1回
• スノードリフト（クラウドメンシス）9秒間、1回
• トロービは0.1秒未満の短時間のスキャンを3回
• WaterNetは1回だけ、結論は報告されていません

これらの頻繁な DubRobber スキャンは、検証可能な XPC 接続プロトコルのチェックから始まる構造化された一連のログ エントリを提示します

その後、Yaraルールが読み込まれ、テレメトリが有効になります、これは、スキャンの残りの部分で維持されます

一連の静的コード署名チェックと、一連のパス チェックがあります、ファイルとさらに Yara チェックが続き、最後にスキャン レポートの前のイベントがあり、次の形式を取ります

{“caused_by”:[],”status_message”:”NoThreatDetected”,”status_code”:20,”execution_duration”:15.570410966873169}

これらのスキャンは、現在 XProtect Remediator がインストールされている、macOS Catalina 以降を実行しているすべての Mac で実行されるはずです

スキャンが行われるのは、Mac が起動していて、定期的なバックアップや受信した電子メールの受信などのバックグラウンド タスク以外にはほとんど何も行っていないときが多いようです

macOSの最近のバージョンを使っている人にとっては、これは大きな前進です、また、この新しいマルウェア保護がまだ稼働しているかどうかについての疑いも払拭します、すでに有効になっており稼働して、アクティブにスキャンしています

(Via The Eclectic Light Company.)

セキュリティ会社Kaperskyによると、MacはShlayerトロイの木馬と呼ばれるものの頻繁なターゲットとなっています

感染者は、Flashを更新する必要があるユーザーに関する偽のエラーメッセージの背後に隠れる悪意のあるアプリへの扉を開いたと言います

少なくとも2018年初頭から活動していると報告しているが、特に2019年にはmacOSに対する最も一般的な脅威で、Macの約10%が攻撃を受け、それ自体でShlayerはmacOSで検出されたすべてのトロイの木馬の30%を占めています

Shlayerトロイの木馬は、さまざまなマルウェアペイロードの配信メカニズムです

1つは、ユーザーがMacにShlayerトロイの木馬のダウンロードを開始するサイトへのリンクをクリックすることです

Shlayerトロイの木馬がインストールするマルウェアの1つにSafari拡張機能があり、Macはそれを使用するかどうかを確認します

セキュリティ会社Kaperskyは「Shlayerファミリーを研究した結果、macOSプラットフォームはサイバー犯罪者にとって良い収入源であると結論付けることができます」と述べています

また同社は、この特定のトロイの木馬が従来とほぼ同じレベルで動作していると報告していますが、2019年4月のMalwarebytesと別の報告では、Macマルウェア全体が大幅に増加していると報告しています

(Via Cult of Mac.)

INDEX

• Macユーザーを標的にするよう特別に設計
• Atomic macOS Stealerを理解する
• AMOSの手口
• AMOSからMacを守る方法

四半期で急増

Malwarebytesのレポートによると、マルウェアの脅威は短期間でMacユーザーの間で増加しており、2018年の第4四半期から2019年の第1四半期までに検出された脅威は60％以上増加しています、前年同期比では200％以上の増加となっています

Malwarebytesから四半期ごとに発表されたCyber​​crime Tactics and Techniquesレポートは、マルウェアベースの暗号化およびランサムウェアの事例が過去4四半期で大幅に減少し、全体的に減少していることから、消費者に対する全体的な脅威の数が減少していると伝えています

Mac特有のマルウェアの量は2018年第4四半期から2019年第1四半期に62％増加しましたが、アドウェアの201％増加はmacOSに対する脅威の全体的な増加の最大の要因でした

最もランクの高いMacマルウェアはPCVARKで、これまでのMacKeeper、MacBooster、MplayerXの上位3位をそれぞれリストの2位、3位、7位に押し下げました

NewTabという名前のアドウェアファミリーの1つが使用量を急増させ、全体で60位から4位に上昇しました

個人よりも企業をターゲット

Malwarebytesによると、悪意のある行為者は、マルウェアやアドウェアパッケージを配信するためにオープンソースのPythonコードにますます頼るようになっています

バックドアに加えて、マルウェアおよびアドウェアの作成者はPythonベースのプログラムMITMProxyに関心を示しています

これは、監視対象のネットワークトラフィックから暗号化されたSSLやその他のデータを盗み出すための中間者攻撃に使用される可能性があります

オープンソースのXMRig暗号通貨マイナーもまた、末期の四半期にマルウェアを暗号化することで発見されました

ランサムウェアの開発は今年も加速すると予想されていますが、ハッカーが高収率ターゲットのため、攻撃は企業に限定される可能性があります

(Source Malwarebytes , Via appleinsider.)