「CrescentCore」マルウェアがMacを攻撃、ウイルス対策ツールを回避

セキュリティ研究者らは、macOS ユーザーを標的とし、一般的なウイルス対策ツールを回避する新たなマルウェアを発見した。

「CrescentCore」はAdobe Flash Playerを装ったDMGパッケージとして配布されています。現在、複数のウェブサイトで確認されており、Integoによると、そのうちの1つは「Google検索結果の上位」に表示されているとのことです。

かつてMacユーザーは、自分のマシンがウイルスに感染しないと自慢していた。しかし、AppleのOSの人気が高まるにつれ、マルウェア作成者にとってより標的となるようになった。

macOSを狙った新たなマルウェアが次々と出現しています。最新のマルウェアは、一般的なセキュリティソフトウェアによる駆除を回避しようとする手法が特に注目されています。

CrescentCoreは、ほとんどのマルウェアダウンロードと同様に、「怪しい」ウェブサイトを介してMacに侵入します。訪問者は通常、何かを無料で入手できると信じ込まされます。あるサイトでは、無料のコミック本を約束しています。

その後、ユーザーは複数のサイトにリダイレクトされ、Flashアップデートと称するファイルをダウンロードするように誘導されます。そして、実際にアップデートをインストールしようとした瞬間に、マルウェアの脅威が顕在化します。

CrescentCore はインストール前にまず、仮想マシン（VM）内で実行されているかどうかを識別します。VM は、研究者が他のマシンに感染させずにマルウェアの調査やリバースエンジニアリングを行うために使用されます。VM が検出された場合、CrescentCore はインストールされません。

次に、CrescentCoreはウイルス対策ツールが実行中かどうかを判断します。作成者はセキュリティソフトウェアに検出されるよりも、全く使用されない方がよいと考えているようです。そのため、ウイルス対策ツールが使用されている場合は、CrescentCoreは実行を停止します。

VMを使用しておらず、ウイルス対策ソフトウェアも実行されていない場合、CrescentCoreは「LaunchAgent」のインストールに進みます。Integoはこれを永続的な感染と表現していますが、その動作は完全には明らかではありません。

CrescentCoreには、「Advanced Mac Cleaner」と呼ばれる不正ソフトウェアや、悪質なSafari拡張機能をインストールする亜種も存在します。これは、ユーザーのオンライン行動を追跡したり、機密データを記録したりするために利用される可能性があります。

Flash Playerに似たもののインストールも避けた方が良いでしょう。Integoは「2019年には、たとえ正規のFlash Playerであっても、Flash Playerをインストールすべきではありません」と述べています。

Flash Playerは何年も前から衰退傾向にあり、現在もそれに依存しているサイトはごくわずかです。かつてのようにデスクトップに必須のものではなくなっています。さらに、多くのマルウェアのダウンロードは、Flashのアップデートを装っているのが一般的です。

すでに良好なブラウジング習慣をお持ちであれば、MacがCrescentCoreに感染する可能性は非常に低いでしょう。しかし、ご心配な場合は、信頼できるウイルス対策アプリをインストールし、Macをスキャンして感染の有無を確認してください。

IntegoのVirusBarrier X9は、CrescentCoreを識別して駆除できます。ただし、既存のユーザーでない場合は、VirusBarrier Scannerを無料でダウンロードして代わりに使用することもできます。

Oligur