GlassWorm Macへの進出：新しいインフラと新たなトリック

概要

GlassWormの背後にいる脅威アクターは、Windowsに焦点を当てた活動からmacOSに転換し、悪意のあるVS Code拡張機能を配布して、Solanaブロックチェーン由来のC2ポインタを通じて暗号化されたJavaScriptペイロードを取得しています。この動きは、ハードウェアウォレットのトロイ化を追加することで機能を拡張し、ブラウザ、開発者ツール、macOSキーチェーン全体での広範なクレデンシャル盗難を継続しています。このインフラストラクチャには、Solanaウォレットアドレスと先のGlassWorm操作から再利用されたIPが含まれており、オペレーターツーリングとホスティングの継続性を示唆しています。拡張機能が削除される前に50,000以上のダウンロードが観察され、開発者環境全体での意味のある露出を示しています。

調査

Koi SecurityはOpen VSXマーケットプレイスで3つの悪意のあるVS Code拡張機能を特定し、それらのコマンド・アンド・コントロールワークフローを、以前GlassWormと関連していたSolanaウォレットと共有IPアドレスにリンクしました。このインプラントは15分の実行遅延を組み込んでおり、その後AES-256-CBC JavaScriptペイロードを復号化して実行します。macOS上では、LaunchAgentsを介して永続性が確立されます。収集対象にはブラウザウォレットとデスクトップウォレットデータ、開発者アクセスのトークン、SSHキー、そしてmacOSキーチェーンの素材が含まれます。マルウェアは盗まれたデータを/tmp/ijewf/に配置し、/p2pに似たサーバーパスに送信する前に外部へ持ち出そうとします。また、Ledger LiveやTrezor Suiteなどの正規のハードウェアウォレットのコンパニオンアプリをトロイ化された類似アプリに置き換え、高価値の秘密とトランザクションを捕捉しようとします。

緩和

開発者ツールに対する制御を強化し、拡張機能の許可リストの適用と、特にオープンマーケットプレイスからのVS Code拡張機能のセキュリティ審査を要求します。遅延実行パターンやLaunchAgentsの疑わしい作成または変更に対するランタイム検出をデプロイします。Solana由来のC2検索に関連する疑わしいアウトバウンド活動を監視およびブロックし、識別された再利用IPへの異常な接続に対するネットワーク検出を追加します。開発者とクラウドアカウントに対しMFAを要求し、ハードウェアウォレットの整合性チェック（発行者の検証、公認/署名の検証、および制御されたソフトウェア更新チャンネル）を実施します。

対応

新規または変更されたLaunchAgents、キーチェーンストアへの異常なアクセス、およびSolanaを参照するC2エンドポイントからの取得試行に対してアラートを発する。悪意のVS Code拡張機能を隔離し、削除し、関連するLaunchAgent永続性を根絶します。/tmp/ijewf/で対象を絞ったフォレンジックスを実行し、クレデンシャルの配備を特定し、収集したデータを確認します。ハードウェアウォレットアプリケーション（Ledger Live、Trezor Suite）の整合性を検証し、改ざんが疑われる場合は信頼できるソースから再インストールします。影響を受けたクレデンシャルをリセットし、SSHキーと開発者トークンをローテーションし、セッションを無効化し、同じ拡張ID、ファイルパス、永続化アーティファクトの探索をエンドポイント全体で拡大します。

シミュレーション実行

前提条件: テレメトリ & ベースラインの事前チェックが合格している必要があります。

論理的根拠: このセクションは、検出ルールをトリガーするように設計された敵対者手法（TTP）の正確な実行を詳述します。コマンドとナラティブは、直接TTPを反映し、検出ロジックが期待する正確なテレメトリを生成することを目的とします。抽象的または無関係な例では誤診を招きます。

• 攻撃のシナリオ＆コマンド:
  既に低特権のmacOSユーザーアカウントを妥協している攻撃者は、ラベル下に格納されているサービスアカウントパスワードを収集しようとします pass_users_for_script。別のバイナリをドロップすることを避けるために、攻撃者は組み込みの セキュリティ ツールを通じて do shell scriptを呼び出すワンライナーのAppleScriptを作成します。このスクリプトはユーザーのセッションで直接実行され、Sigmaルールが一致する正確なコマンドラインでプロセス作成イベントを生成します。

  # テスト用キーチェーンアイテムの作成（デモ目的のみ；実際の攻撃者は既存アイテムを対象とします）
  security add-generic-password -a attacker -s pass_users_for_script -w SuperSecret123
  
  # キーチェーンのパスワードを読み取るAppleScriptの実行
  oascript -e 'do shell script "security find-generic-password -s '''pass_users_for_script''' -w"'

• リグレッションテストスクリプト:

  #!/usr/bin/env bash
  set -euo pipefail
  
  # ステップ1: 対象キーチェーンエントリの存在確認（冪等）
  if ! security find-generic-password -s pass_users_for_script -w >/dev/null 2>&1; then
      security add-generic-password -a attacker -s pass_users_for_script -w SuperSecret123
  fi
  
  # ステップ2: 検出ルールをトリガーするAppleScriptの実行
  echo "[+] キーチェーンエントリを読み取るAppleScriptを実行しています..."
  oascript -e 'do shell script "security find-generic-password -s '''pass_users_for_script''' -w"'

• クリーンアップコマンド:

  # システムをクリーンに保つためにテストキーチェーン項目を削除
  security delete-generic-password -s pass_users_for_script
  echo "[+] クリーンアップ完了：テストキーチェーンエントリを削除しました。"