偽のZoomインストーラーが.NETダウンローダーを使用してmacOSにOverlord RATを配信

概要

macOS マルウェアキャンペーンが、偽の Zoom インストーラーを使用して Overlord リモートアクセス型トロイの木馬 (RAT) を配布しています。このダウンローダーは、macOS と Windows システムの両方をターゲットにできる独特の .NET ベースの Mach-O バイナリです。起動されると、攻撃者が制御するインフラストラクチャからプラットフォーム固有のペイロードを取得します。

調査

Jamf Threat Labs は、 ZoomMeetings という名前の Mach-O ダウンローダーを分析したところ、難読化された .NET コードが含まれていることが判明しました。調査によると、このマルウェアは XOR エンコーディングを使用しており、キー 0x94 を使用して C2 インフラストラクチャとペイロードの URL を隠蔽しています。第 2 段は、静的解析を困難にするために garble 難読化でコンパイルされた Overlord エージェントを配信します。

緩和

組織は、高度な脅威防止とウェブ保護コントロールを導入して、悪意のあるダウンロードを遮断するべきです。/tmp/ から署名されていないまたは予期しないバイナリの実行を制限することが推奨されます。セキュリティチームは、許可されていない LaunchAgent 作成を監視して、持続性を検出および予防するべきです。 /tmp/ is recommended. Security teams should also monitor for unauthorized LaunchAgent creation to detect and prevent persistence.

対応

悪意のある活動が検出された場合、影響を受けた macOS エンドポイントをすぐに隔離して C2 通信を妨害するべきです。調査者は、~/Library/Application Support/ の許可されないファイルを検索するべきです。特に /tmp/ and ~/Library/Application Support/内の不審な LaunchAgent、例えば com.zoom.plistのようなエントリーを特定して削除するべきです。

シミュレーションの実行

前提条件: テレメトリーとベースライン事前準備チェックに合格している必要があります。

根拠: このセクションは、検出ルールを引き起こすために設計された具体的な敵対者技術（TTP）の正確な実行を詳述しています。コマンドと説明は、TTPs に特に合わせて、検出ロジックが期待する正確なテレメトリーを生成することを目的としています。抽象的または無関係な例は、誤診につながります。

• 攻撃ストーリー & コマンド: 攻撃者は、Zoom のアップデートを装って macOS ワークステーションに Overlord RAT を展開することを目的としています。ユーザーを欺いて偽のインストーラーを実行させた後、インストーラーは/tmpフォルダ内の隠れたディレクトリに第2段のペイロードを投下します: /tmp/ZoomMeetingsです。ユーザーがターミナルセッションを終了してもマルウェアが実行し続けるようにするため、攻撃者は nohup ユーティリティを使用してペイロードを実行します。この挙動は、正当なシステムユーティリティを利用して単純な署名検査を回避することを意図しています（ ）実行可能なディレクトリに疑わしいファイルを開始します。ユーティリティを使用してペイロードを実行します。この挙動は、正当なシステムユーティリティを利用して単純な署名検査を回避することを意図しています（) to launch a suspicious file in a writeable directory.

• 回帰テストスクリプト:

  #!/bin/bash
  # Overlord RAT シミュレーションスクリプト
  
  # 1. /tmp に不審なディレクトリを作成
  TARGET_DIR="/tmp/ZoomMeetings"
  mkdir -p "$TARGET_DIR"
  
  # 2. 疑わしいバイナリを作成
  MALICIOUS_BIN="$TARGET_DIR/overlord_payload"
  echo "#!/bin/bash" > "$MALICIOUS_BIN"
  echo "echo 'Overlord RAT active' >> /tmp/overlord_status.log" >> "$MALICIOUS_BIN"
  chmod +x "$MALICIOUS_BIN"
  
  # 3. nohup を使用してバイナリを実行して検出ルールを発動
  echo "[+] パイロードを nohup を通じて実行中に検出を発動..."
  nohup "$MALICIOUS_BIN" > /dev/null 2>&1 &
  
  echo "[+] シミュレーション完了。SIEM のアラートを確認。"

• クリーンアップコマンド:

  # 悪意のあるディレクトリとファイルを削除
  rm -rf /tmp/ZoomMeetings
  rm /tmp/overlord_status.log