macOSマルウェアがTelegramセッションを乗っ取り、仮想通貨ウォレットを標的に＝SlowMist

ブロックチェーンセキュリティ企業SlowMistによると、macOS向けの情報窃取型マルウェアが、macOS Keychain、SafariのCookie、Apple Notes、Telegram Desktop、および十数種類を超えるウォレットに関連するデータベースからデータを引き出すことで、Telegram Desktopのセッションを乗っ取り、仮想通貨ウォレットを侵害し得る。このマルウェアは認証済みのTelegramセッションデータ、ウォレットのデータベース、ブラウザーのウォレット拡張機能データをコピーし、攻撃者にアカウントや資金を狙う複数の手段を与える。 SlowMistによると、この攻撃は新たなログインを作成するのではなく、すでに認証済みのローカルセッションを再利用するため、Telegramの2段階認証が有効でも成立する。テストでは、研究者らは電話番号、認証コード、2段階認証のパスワードを入力することなく、盗まれたTelegram Desktopのセッションデータを別のMac上で復元した。 このマルウェアは、Exodus、Atomic、Electrum、Wasabi、モネロを含むソフトウェアウォレットに加え、Ledger LiveやTrezor Suiteといったハードウェアウォレット向けアプリも標的とする。また、Bitcoin Core、ライトコイン Core、Dash Core、ドージコイン Coreを含むフルノードクライアントが保存するウォレットデータも探す。SlowMistによると、攻撃者は感染端末から取得したパスワードを使って盗んだウォレットデータベースをオフラインで復号しようとする可能性があるほか、正規のウォレットアプリを偽アプリにすり替え、ユーザーにリカバリーフレーズの入力を促す可能性もある。 研究者らは、感染が疑われる被害者に対し、感染端末を信頼できないものとして扱い、既存のTelegramセッションを終了し、Telegramの2段階認証とアプリのパスワードの両方を変更したうえで、クリーンな端末で新たなリカバリーフレーズを生成し、資産を新規作成したウォレットへ移すよう助言した。