フォローする 
概要
AmnesiaStealerは、偽のGitHubページを通じてClickFix技術を用いて配布される、多段階のRustベースのmacOS情報窃取ツールです。このマルウェアはキーチェーンデータ、Apple Notes、Telegram、及びChromiumベースのブラウザを標的にします。注目すべき第二段階モジュールは、オペレーターがChrome DevToolsプロトコルを介して、侵害されたブラウザセッションにライブでヘッドレス操作することを可能にします。
調査
Jamf Threat Labsは、シェルスクリプトドロッパーから始まる三段階の実行チェーンのマルウェアを分析しました。その後、Rustベースの情報窃取ツールと最終ストリーミングモジュールが続きます。研究者はTCCバイパスの試み、キーチェーンの収集、及びブラウザープロファイルの複製を観察するために、サンドボックスでサンプルをデトネートしました。また、Chrome Safe Storageキーを書き換えてオペレーター側の復号を可能にする手法も明らかにしました。
緩和策
組織はユーザーに、信頼されていないサイトからのコマンドをターミナルに貼り付けないよう教育するべきです。強力なエンドポイント保護機能は、許可されていないTCCデータベースの変更や、関与する不審な活動を監視すべきです。 Finder プロセス。管理者特権の抑制も、成功したLaunchDaemonの持続可能性を低減する可能性があります。
対応策
AmnesiaStealerの活動が検出された場合、データの流出やリモートブラウザー制御を停止するために、影響を受けたmacOSホストを直ちに隔離するべきです。調査官は、許可されていないLaunchDaemonsや /tmp/内の不審なファイルを探すべきです。ブラウザーやキーチェーンに保存されたすべての認証情報とアクティブセッションは、取り消され、侵害されたとみなされるべきです。
攻撃フロー
検出
バックグラウンドプロセスを切り離すためのDisownの不審な使用（コマンドライン経由）
macOSシステムボリュームがosascriptを使用してミュートされた（コマンドライン経由）
Nohupの使用による可能性のある実行（コマンドライン経由）
macOS Xattrテンポラリフォルダ属性がクリアされた（プロセス作成経由）
不審なディレクトリを指すmacOSアーカイブユーティリティ（コマンドライン経由）
手動でのキーチェーン解除の試みの可能性（コマンドライン経由）
ファイルアーカイブと流出のためのDittoの不審な使用（プロセス作成経由）
macOSでの不審なCurl実行試行（コマンドライン経由）
macOSの一時フォルダに作成されたアーカイブ（ファイルイベント経由）
検出するためのIOCs（HashMd5）：AmnesiaStealer：Chromiumブラウザーを乗っ取る多段階RustベースのmacOS情報窃取ツール
AmnesiaStealer macOS情報窃取ツールのバイパス技術の検出[Windowsプロセス作成]
macOS AmnesiaStealer実行技術の検出[Linuxプロセス作成]
シミュレーション実行
前提条件：テレメトリ＆ベースライン事前飛行チェックが合格している必要があります。
根拠：このセクションでは、検出ルールを引き起こすように設計された敵対者の技術（TTP）の正確な実行を詳細にします。コマンドと物語は、特定されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリを生成することを目的とする必要があります。抽象的または無関係な例は、誤診に繋がります。
-
攻撃の物語とコマンド： 敵対者は、ユーザーを”ClickFix”ソーシャルエンジニアリング攻撃で悪意のあるパッケージをダウンロードさせることに成功しました。ペイロードを実行するには、攻撃者はmacOSのGatekeeper及びセキュリティプロテクションを回避する必要があります。攻撃者は以下を行います：1) ダミーバイナリを作成する; 2)
xattr -crを使用してすべての拡張属性を削除し（”インターネットからダウンロード”された隔離フラグを取り除く）; 3)chmod +xを使用してファイルを実行可能にする; 4)codesignを使用して即席の署名を適用し実行ブロックを防ぐ; そして5)nohupを使用してターミナルセッションが終了しても情報窃取ツールを継続して実行させる。このシーケンスはAmnesiaStealerの高信号行動を模倣しています。 -
回帰テストスクリプト：
#!/bin/bash # AmnesiaStealerシミュレーションスクリプト # 1. セットアップ：ダミーの悪意のあるバイナリを作成します echo "#!/bin/bash" > /tmp/amnesia_payload.sh echo "echo '認証情報を盗んでいます...'" >> /tmp/amnesia_payload.sh # 2. T1564.011 / T1027.005: 隔離属性を削除します xattr -cr /tmp/amnesia_payload.sh # 3. T1588.003: ファイルを実行可能にします chmod +x /tmp/amnesia_payload.sh # 4. T1553.001: 即席コードサイニング codesign --force --deep --sign - /tmp/amnesia_payload.sh # 5. T1053 / T1059: nohupを使用して実行し、sudo使用をシミュレートします # 注意：sudoコマンドはテスト環境での実際のパスワードプロンプトを避けるためにダミーのechoでシミュレートされています nohup /tmp/amnesia_payload.sh > /tmp/stealer.log 2>&1 & echo 'password123' | sudo -S /usr/bin/whoami -
クリーンアップコマンド：
# シミュレーションアーティファクトを削除します rm /tmp/amnesia_payload.sh rm /tmp/baseline_test.txt rm /tmp/stealer.log
