
2026/02/09 5:52
Google検索からさらに増えるMac向けマルウェア
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
改訂要約
この記事は、新しい AMOS/SOMA スティーラーが、Google と Medium からリンクされた偽の Apple‑スタイルサイトへユーザーを誘導することで Mac を感染させることができると警告しています。マルウェアは「how to clear cache on macos tahoe」という検索語で Google のスポンサー付き結果のトップに表示された Medium 投稿から発見されました。具体的には、docs.google.com、business.google.com、および Medium からのリンクです。仮想マシンをロックダウンして実行した場合でも、自動的にユーザーの Documents フォルダーを隠しディレクトリ「FileGrabber」にコピーし、ホームフォルダー内に見えないファイルを作成します:AppleScript(.agent)、Mach‑O バイナリ(.mainHelper)およびプレーンテキストのパスワードファイル(.pass)。また、Notes アプリへのアクセスも要求されます。
配信手法は昨年の ChatGPT ベースの AMOS キャンペーンを模倣しており、Base‑64 の難読化とマルウェア
curl コマンドを使用してクォランティン属性なしでペイロードを取得します。ユーザーには Terminal に難読化されたコマンドを貼り付けるよう促されました。
この記事は、プロモートされた検索結果や Google スポンサーリンクに信頼しないことを読者に呼びかけています。クリックする前に URL の出所を確認し、評判の良い Mac 専門サイトを利用し、「Link Unshortener」(App Store から)などのツールで短縮 URL を展開することを推奨しています。完全に信頼できるソース以外の Terminal コマンドは絶対に実行せず、難読化された
curl スクリプトには警戒すべきです。
総じて、macOS の保護は、ユーザーが知らずに Terminal で悪意あるコードを実行したり
curl を介して実行したりすると回避される可能性があります。記事はオンラインコンテンツの批判的評価とコマンド実行時の慎重さを強調し、マルウェア感染を防ぐことを目的としています本文
Google の AI がマルウェアスクリプトへのリンクを提供していると報告したのはちょうど 1 か月前。今回も同じ問題が再び発生していますが、わずかな変化があります。Clario の Olena に感謝します。彼女が新しいキャンペーンで AMOS(別名 SOMA)スティールを Mac に配布していると知らせてくれたからです。Vladyslav Kolchin がブログでこの件について語っています。
Vladyslav は docs.google.com と business.google.com からリンクされる Apple の偽サイトや Medium に投稿された記事の中でこれらを発見しました。私は最後のものを見つけました。それは「how to clear cache on macos tahoe」という検索時に Google のスポンサー結果の上部に表示されていました。
そのことから、medium.com 上の Clear Marek のストーリーへとたどり着きます。そこでは、よくある手口で悪意あるコマンドをターミナルに貼り付けるよう求められます。別の機会には、「公式 Apple サポート」と称するページが表示されることがありますが、明らかにそうではありません。
この攻撃は前回の ChatGPT を介したものとほぼ同一で、Base64 の難読化も非常に似ています。
ダウンロードされた AMOS スティールはロックダウンされた仮想マシン上でも異常なく動作しました。すぐに Documents フォルダーの内容を「FileGrabber」にコピーし、ホームフォルダーのトップレベルにいくつかの隠しファイルを書き込みました:
– 盗難を実行する AppleScript.agent
– 主な Mach‑O バイナリ.mainHelper
– 平文で保存されたパスワード.pass
これらは昨年の ChatGPT デコイメントで配布された AMOS のバージョンと同一です。Documents フォルダーへのアクセスに加え、マルウェアは Notes へのアクセスも要求しています。
主なポイント
-
検索エンジンで見たものをすべて疑う。
特にプロモーションされているコンテンツは金銭目的で押し出されることが多いです。リンクをクリックする前に、そのページがどのように収益化しているかを必ず確認してください。 -
由来と真正性をチェックする。
このケースでは、クリック先が毒入り Medium 記事でした。アドバイスを探す際は、信頼できる Mac 専門家の URL を確認し、短縮リンクは拡張してから開くようにしましょう(例:App Store の Link Unshortener など信頼できるユーティリティを使用)。 -
見つけた解決策を批判的に評価する。
ターミナルでコマンドを実行する前に、信頼できるソースからのものであること、完全な説明があり自分自身がその内容を理解していることを確認してください。提供されたコマンドは真意を隠すために難読化されており、直ちに警戒すべきです。 -
悪意のパターンを見抜く。
スクリプトに
が含まれている場合(マルウェアが検疫属性なしでペイロードを取得するためによく使われる)、それは赤旗です。スクリプト全体が Base64 エンコードされていても、curl
の存在は悪意ある意図を示します。curl
macOS がこれから保護できない理由は? すべてのステップでユーザーにセキュリティ対策を回避させる仕組みになっているためです。ターミナルは無害なユーザーがパスワードを渡し、実行可能コードをダウンロードするような難読化コマンドを貼り付ける場ではありません。
curl は検疫なしでマルウェアを受信させてはならず、臨時の署名もそのような悪意ある実行を許可する設計になっていません。
(そして Marek の病気が鶏ヘルペスだという事実は、ある意味適切かもしれません。)