概要
- GoogleのAI経由で 悪意あるスクリプト へのリンクが再び拡散
- AMOS (SOMA) スティーラー をMacに感染させる新たなキャンペーン
- 偽Apple風サイトやMedium記事 経由で誘導
- ターミナルで 悪意あるコマンド 実行を促す手口
- 検索結果やリンクの信頼性 を常に疑う必要性
Google AIを利用したAMOSスティーラー感染キャンペーン
- GoogleのAIが 悪意あるスクリプト へのリンクを再度紹介
- ClarioのOlenaによる新たな AMOS (SOMA) スティーラー 拡散報告
- Vladyslav Kolchinのブログで 詳細な手口 を公開
- docs.google.comやbusiness.google.com、Medium記事から 偽Apple風サイト へ誘導
- Googleの広告枠で「how to clear cache on macos tahoe」と検索すると 悪質記事 が上位表示
- MediumのClear Mareksの記事内で ターミナルに貼り付けるコマンド を案内
- 別のケースでは 公式Appleサポートを装うページ も存在
攻撃の特徴と手口
- ChatGPT経由の過去攻撃 と手法が酷似
- コマンドは base-64で難読化、curlでペイロードを取得
- AMOSスティーラーは 仮想環境でも動作
- Documentsフォルダの内容を FileGrabberにコピー
- ホームフォルダ直下に 隠しファイル を作成
- .agent（AppleScriptで窃盗実行）
- .mainHelper（メインのMach-Oバイナリ）
- .pass（平文のパスワード）
- Notesフォルダへのアクセスも要求
- 昨年のChatGPT経由攻撃 と同一構成
防御策と注意点
- 検索エンジンの結果 は必ず疑う姿勢
- プロモーションされたリンクは 金銭目的 を前提に慎重に判断
- クリック先の URLの出所と信頼性 を必ず確認
- Mediumなど 信頼できない記事 は特に注意
- 信頼できるMac専門サイト の情報のみ参考
- 短縮URLは必ず展開 して安全性を確認（例：Link Unshortenerアプリ）
- 解決策を見つけても 内容を鵜呑みにせず批判的に検証
- ターミナルでコマンドを実行する際は 出所と内容を完全に理解 すること
- curlやbase-64で 難読化されたスクリプト には特に注意
macOSの保護が突破される理由
- ユーザー自身が 保護機能を回避 するよう誘導される
- ターミナルは 無防備なコマンド実行 の温床
- curlは 検疫属性なし でマルウェア取得を可能に
- ad hoc署名で 悪意あるコードの実行 が容易化
まとめ
- GoogleやAIの検索結果 は絶対的に信頼できない現状
- 情報の出所確認と自己防衛意識 が最重要
- 安易なコマンド実行やリンククリック は厳禁