MacSync Stealerの活動調査：macOSでのデータ盗取行為から見る「行動ベース」の検出強化と監視ポイント

解説

MacSync Stealerは、macOS環境を標的とし、認証情報や機密データを盗み出すタイプのマルウェアです。この脅威はインフラストラクチャ（ドメイン）を頻繁に変更して活動するため、特定のIPアドレスやドメインをブロックするだけでは対策が困難になっています。

単なるネットワーク通信だけでなく、データ収集→圧縮・分割→HTTP PUTリクエストによる外部流出という一連の「行動パターン」に着目することが重要です。特にユーザーにTerminalを経由してコマンドを実行させる初期段階や、ネイティブなツールを利用する過程など、「ふるまい」そのものを捉える視点が求められます。

ポイント

• MacSync StealerがmacOS上でCredential窃取とデータ外部流出を行う一連のプロセスを詳細に分析している。
  \n単なるドメインブロックではなく、ターミナル利用やネイティブコマンド（curlなど）の使用といった「行動パターン」を検出することが重要である。
  \n収集した機密データは圧縮・分割され、HTTP PUTリクエストを通じて外部に流出する傾向が強い。

情シスへの影響

脅威の活動フェーズに関するログ監視

攻撃チェーン全体（C2通信→コレクション→ステージング→外部流出）を追跡できるよう、エンドポイントおよびネットワークの両面から詳細なテレメトリ（プロセス名、コマンドライン引数、ネットワークリクエストヘッダーなど）を収集し、長期的に保持することが不可欠です。

検出のための「行動的」シグネチャの適用

単一のIOCではなく、「複数のふるまいが同時に起こるパターン」を監視する必要があります。具体的には、ユーザーによるターミナル操作とネイティブツール（curlなど）を用いたペイロード取得や、機密性の高いファイルへのアクセス後の圧縮・HTTP PUTアップロードのシーケンスに注目します。

端末利用者の教育強化とポリシー適用

最も初期段階の感染経路として「ユーザーによるターミナル経由での実行」が確認されています。エンドポイントセキュリティ層だけでなく、従業員向けのセキュリティ教育を徹底し、不明なコマンドの実行リスクを最小限に抑える必要があります。

影響範囲

影響を受けるのはmacOSを稼働させている全端末（クライアントPC）。

検出・防御策は以下の管理領域全体にわたります：エンドポイントログ（プロセス、コマンドライン）、ネットワーク通信（HTTP PUTリクエスト、特定のURIパターン/ヘッダー）、ID認証情報（Keychain, クライブラリ）の保護。

適用されるべき技術的な対策範囲：Endpoint Detection and Response (EDR)、次世代ファイアウォール/プロキシによるトラフィック監視、ユーザー行動分析（UEBA）。

重要度

★★★★★

対象者

• セキュリティ担当者
• M365管理者
• Entra管理者
• AD管理者

優先度

早めに対応

優先度の理由

この情報は、具体的なマルウェアの活動パターンと複数の検出「行動的」シグネチャを提供しているため、早期にログ監視ルールの強化やEDRツールのチューニングを行う必要があります。特に攻撃者はドメインを頻繁に入れ替えるため、静的なIOC追跡ではなく、記事で示された『プロセス／コマンドライン』といった振る舞いによる検出への移行が必須です。

確認手順

• エージェントログの確認：MacSync Stealerと関連するプロセスの実行履歴（特にcurl, osascriptなどネイティブツールの使用）を調査する。
  ネットワーク監視の設定確認：「HTTP PUT」リクエスト、および特定のアップロード識別子（upload_id, chunk_index, total_chunks）を含む出向データのトラフィックパターンを特定し、ルールを追加する。
  機密データアクセスログの確認：macOS Keychainやブラウザ固有のストレージからの一括的な読み出し試行に関するイベントログがないかを確認する。
  コマンドライン監視の強化：「curl」などのネイティブツールが引数として「API-key」「/gate」といった特定の文字列を含む実行パターンが出ていないかを調査する。