Kaspersky Labは8月27日(現地時間)、「HZ Rat backdoor for macOS harvests data from WeChat and DingTalk｜Securelist」において、エンタープライズメッセンジャー「DingTalk」およびメッセージングプラットフォーム「WeChat」のユーザーを標的とするバックドア「HZ Rat」のmacOS版を発見したと伝えた。

HZ Ratは2022年11月にドイツのセキュリティ企業「DCSO」によりWindowsを標的とするサンプルが確認されている(参考：「HZ RAT goes China. Walking down the Royal Road as we did… | by DCSO CyTec Blog | Medium」)。今回はほぼ同じ機能を持つmacOSのサンプルが初めて確認された。

  • HZ Rat backdoor for macOS harvests data from WeChat and DingTalk｜Securelist

    HZ Rat backdoor for macOS harvests data from WeChat and DingTalk｜Securelist

バックドア「HZ Rat」の正体

Kaspersky Labは今回に発見したサンプルの侵害経路を不明としている。しかしながら、インストールパッケージ「OpenVPNConnect.pkg」の入手に成功したとして分析結果を公開した。この悪意のあるパッケージは2023年7月にVirusTotalにアップロードされているが、分析時点において主要なセキュリティソリューションから検出されないことがわかっている。

  • VirusTotalにアップロードされたパッケージ - Securelist

    VirusTotalにアップロードされたパッケージ - Securelist

パッケージを開くと内部に含まれる「exe」というファイル名のシェルスクリプトが実行され、そこからバックドア本体とOpenVPNアプリが実行される。バックドアはコマンド＆コントロール(C2: Command and Control)サーバとの接続を確立すると、単純な暗号化通信を使用して次の情報を窃取するとされる。

  • システム整合性保護(SIP: System Integrity Protection)ステータス
  • システムおよびデバイス情報
  • アプリケーションの一覧
  • DingTalkのユーザーおよび組織情報(勤務先情報、ユーザー名、メールアドレス、電話番号)
  • WeChatのユーザー情報(WeChatID、メールアドレス、電話番号)
  • Google Chromeのパスワードマネージャー

バックドアとしての目的

発見されたコマンド＆コントロールサーバの大部分は中国のIPアドレスとされる。また、悪意のあるパッケージが中国のゲーム開発会社「MiHoYo」のドメインから過去に配布されていたことも確認されている。MiHoYoが故意に配布したのか、侵害されたのかはわかっていない。

このバックドアにはファイルのアップロード、ダウンロード機能がある。しかしながら、これら機能の使用は分析中に確認されていない。Kaspersky Labはこれらの事実を総合的に評価した結果、攻撃者の意図がわからないと結論づけている。

攻撃者の目的や侵害経路が不明のため、対策の検討は難しい。だが、攻撃に使用されたパッケージがOpenVPNに偽装していることから、アプリを公式ストアまたは正規サイトからのみダウンロードすることで回避できるものとみられる。Kaspersky Labは調査過程で判明したセキュリティ侵害インジケーター(IoC: Indicator of Compromise)を公開しており、必要に応じて活用することが望まれている。