macOSを標的にするインフォスティーラー AppleProcessHub|セキュリティニュース

投稿日時: 2025年05月29日更新日時: 2025年05月28日

2025年5月中旬、セキュリティ研究者によって新たなmacOS向け情報窃取型マルウェア「AppleProcessHub」が発見されました。このマルウェアは、macOSの内部構造を巧妙に悪用し、開発者や企業ユーザーの機密情報を標的としています。特にSSHキーやKeychainデータなど、開発環境における重要な情報を狙っており、個人だけでなく組織全体へのリスクを高めています。

1 技術的概要と感染の流れ
2 回避技術と分析の困難性
3 セキュリティへの影響と対策

技術的概要と感染の流れ

AppleProcessHubは、libsystd.dylibという名称のMach-Oバイナリファイルとして発見されました。

このファイルは拡張子からは動的ライブラリを装っていますが、実際にはx86_64アーキテクチャ向けにコンパイルされた実行可能ファイルであり、Objective-Cで記述されています。このバイナリは、AppleのGrand Central Dispatch（GCD）を利用して非同期に悪意のあるペイロードをダウンロードし実行します。

初期のバイナリは、AES-128（ECBモード）で暗号化されたBase64エンコード文字列を含んでおり、これを復号することでC2（コマンド＆コントロール）サーバーのURLを動的に構築します。

このC2サーバー（例：appleprocesshub[.]com）からは、第二段階のbashスクリプトがダウンロードされ、実行されます。このスクリプトは、以下のような機密情報を収集し、攻撃者のサーバーへ送信します

.bash_historyおよび.zsh_historyファイル
GitHubの設定ファイル（gitconfig）
SSHキーおよび設定ファイル（.sshディレクトリ内）
macOSのKeychainデータベース（Login.keychain-db）
/etc/hostsファイル

これらの情報には、認証トークン、シェルコマンドの履歴、内部ネットワークのIPアドレスやホスト名、ドメイン名などが含まれており、攻撃者が組織内部へのさらなる侵入を試みる足がかりとなります。

回避技術と分析の困難性

AppleProcessHubは、macOSのSystem Integrity Protection（SIP）を回避するために、ユーザースペースで動作します。これにより、カーネルレベルの保護を回避し、システムAPIへのフックやクリップボードの監視などが可能となります。また、Objective-Cの間接的なメソッド呼び出しや、暗号化された文字列の使用により、静的解析を困難にしています。これらの特徴は、攻撃者がmacOSの内部構造に精通しており、高度な技術力を有していることを示唆しています

セキュリティへの影響と対策

AppleProcessHubの出現は、macOSが従来考えられていたほど安全ではないことを示しています。特に開発者や企業ユーザーは、SSHキーやKeychainデータなどの機密情報を狙われるリスクが高まっています。このような情報が漏洩すると、個人の被害にとどまらず、組織全体のセキュリティにも深刻な影響を及ぼす可能性があります。

推奨される対策：