Macを狙う新マルウェア「OSX/Keydnap」--パスワードが盗まれるおそれ

　ユーザーのパスワードを盗む目的で「Mac」を標的としてシステムに侵入する新種のマルウェアが野放しになっていることが、研究者によって明らかにされた。

　ESETの研究者によると、「OSX/Keydnap」と名付けられたこのマルウェアは、「OS X」のキーチェーンの中身を盗むことを目的としており、恒久的なバックドアを被害者のシステムにインストールするという。

　OSX/Keydnapには、珍しい特徴がいくつかある。ダウンロードされたOSX/Keydnapは、無害な.txtファイルや.jpgファイルに偽装された実行ファイルを含む.zipファイルとして姿を現す。しかし、ファイルの拡張子の最後にスペース（空白）が含まれているので、そのファイルをダブルクリックすると、「Preview」や「Text Edit」ではなく「Terminal」アプリが起動し、ペイロードが実行される。

　その後、バックドアが作成される。バックドアは「LaunchAgents」ディレクトリへのエントリを追加し、システムを再起動しても消滅しない。

　ひとたびバックドアが設置され、リモートの攻撃者がシステムへのエントリを確保したら（これにより、攻撃者がセッションを乗っ取り、被害者を監視することも可能になる）、OSX/KeydnapはOS Xのキーチェーンに狙いを定め、パスワードと内部に保存されたキーを盗む。

　このコンポーネント（マルウェアの作成者はこれを「Keychaindump」と呼ばれるGitHubレポジトリから入手した）はその後、Appleの「securityd」のメモリからキーチェーンの暗号解読キーを探し出す。

　マシンへのルートアクセスを取得するため、OSX/Keydnapはユーザーを騙して、アカウント認証情報を入力させようと試みる。研究者は次のように述べている。

　「Keydnapは、ユーザーに認証情報を求めるウィンドウを開く。このウィンドウは、通常、OS Xでアプリケーションが管理者権限を必要とするときに表示されるものにそっくりだ」

　「被害者がこれに引っかかって認証情報を入力すると、それ以降、バックドアがルートとして動作するようになり、被害者のキーチェーンが盗まれてしまう」

　被害者の認証情報へのアクセスに成功したら、OSX/Keydnapは「Tor」を使って攻撃者のC＆Cサーバに接続し、その情報の転送や新たな命令の受信を行う。

　ESETによると、OSX/Keydnapの感染経路は不明だという。また、標的となったマシンでGatekeeperが有効になっていればこのファイルは実行されず、ユーザーへの警告が表示される。