ハッカー、Google広告やClaude.aiチャットを悪用してMac用マルウェアを押し付ける

攻撃者はGoogle広告と正規のClaude.ai共有チャットを悪用し、活発な不正広告キャンペーンを展開しています。

ユーザーが「Claude mac download」を検索すると、ターゲットウェブサイトとしてclaude.aiが リストアップされたスポンサードサーチ結果に遭遇する可能性がありますが、Macにマルウェアをインストールする指示につながります。

共有されたクロード・チャットがmacOSユーザーをターゲットに武器化される

このキャンペーンは、Trendyol Groupのセキュリティ・エンジニアであるBerk Albayrak氏によって発見され、同氏はLinkedInでその発見を共有した。

Albayrak氏は、公式の「Claude Code on Mac」インストールガイドを装ったClaude.aiの共有チャットを特定しました。

このチャットでは、ユーザーがターミナルを開き、コマンドを貼り付けることで、Mac上でマルウェアをサイレントダウンロードし、実行する手順を説明している。

Albayrakの調査結果を検証しようとしたところ、まったく別のインフラを通して同じ攻撃を実行している2つ目の 共有Claudeチャットにたどり着いた。

この2つのチャットは、同一の構造とソーシャル・エンジニアリング・アプローチに従っているが、使用するドメインとペイロードは異なっている。執筆時点では、どちらのチャットも一般公開されていた：

macOSマルウェアは何をするのか？

共有Claudeチャットで示されたbase64命令は、以下のようなドメインからエンコードされたシェルスクリプトをダウンロードします：

• Albayrak[VirusTotal] が確認した亜種: hxxp://customofingcontractors[.]com/curl/b42a0ed9d1ecb72e42d6034502c304845d98805481d99cea4e259359f9ab206e
• VirusTotal] で確認された亜種: hxxps://bernasibutuwqu2[.]com/debug/loader.sh?build=a39427f9d5bfda11277f1a58c89b7c2d

loader.sh'(上記の2番目のリンクで提供される)は、Gunzipで圧縮されたシェル命令の別のセットである：

この圧縮されたシェルスクリプトは、完全にメモリ内で実行され、ディスク上にはほとんど明らかな痕跡を残さない。

サーバーがリクエストごとに難読化されたバージョンのペイロードを提供する（polymorphic deliveryとして知られるテクニック）ことを観察し、既知のハッシュやシグネチャに基づいてセキュリティツールがダウンロードにフラグを立てることを難しくしている。

特定された亜種は、マシンにロシア語またはCISリージョンのキーボード入力ソースが設定されているかどうかをチェックすることから始まります。もしそうであれば、スクリプトは何もせずに終了し、途中で攻撃者のサーバーに静かなcis_blockedステータスのpingを送信する。このチェックを通過したマシンだけが次のステージに進む：

さらに進む前に、スクリプトは被害者の外部IPアドレス、ホスト名、OSバージョン、キーボードロケールを収集し、そのすべてを攻撃者に送り返す。ペイロードを配信する前にこのような被害者のプロファイリングを行うことは、攻撃者が標的を選別していることを示唆している。

その後、スクリプトは第2段階のペイロードをプルダウンし、macOSの組み込みスクリプト・エンジンであるosascriptを介して実行する。これにより攻撃者は、従来のアプリケーションやバイナリを落とすことなく、リモートでコードを実行できるようになる。

しかし、Albayrakによって特定された亜種は、プロファイリングのステップをスキップしているように見える。そのまま実行に移される。

ブラウザの認証情報、クッキー、macOSキーチェーンのコンテンツを取得し、それらをパッケージ化し、攻撃者のサーバーに流出させる。Albayrakは、これをMacSync macOS infostealerの亜種と特定した：

Albayrakが特定した亜種で上に示したbriskinternet[.]comドメインは、執筆時点ではダウンしているようだ。

正規のURLが脅威となる場合

Malvertisingは、マルウェアが繰り返し配信される仕組みとなっています。

以前、GIMPのようなソフトウェアを検索しているユーザーをターゲットにした同様のキャンペーンについて報告したことがあるが、このようなキャンペーンでは、説得力のあるGoogle広告が正規のドメインをリストアップし、代わりにそっくりなフィッシングサイトに訪問者を誘導する。

今回のキャンペーンでは、偽のドメインが表示されないため、そのようなことはない。

攻撃者はクロード自身の共有チャット機能内で悪意のある指示をホストしているため、ここで見られるGoogle広告はどちらもAnthropicの本物のドメイン、claude.aiを指している。広告の宛先URLは本物だ。

攻撃者がこのようにAIプラットフォームの共有チャットを悪用するのは初めてではない。12月には、ChatGPTとGrokのユーザーをターゲットにした同様のキャンペーンが報告されている。

今年初めには、人気のパッケージ・マネージャーであるHomebrewを検索しているmacOS開発者をターゲットに、脅威行為者が同様のキャンペーンを行った。しかし、Claudeをターゲットにすることは、AIに興味があり、ターミナルコマンドを実行する前に精査する可能性が低い非技術的なユーザーを対象に、より広い網を張ることになる。

ユーザーは、スポンサーの検索結果をクリックするのではなく、直接claude.aiに移動してネイティブClaudeアプリをダウンロードする必要があります。正規のクロードコードCLIはAnthropicの公式ドキュメントから入手でき、チャットインターフェースからコマンドを貼り付ける必要はありません。

ターミナルコマンドを貼り付けるように指示された場合、その指示がどこから来たものであろうと、一般的には慎重に扱うのが良い習慣です。

掲載に先立ち、AnthropicとGoogleにコメントを求めた。