macOSの悪意あるソフトウェアがTelegramの二重認証を回避し、暗号ウォレットとアカウント権限を窃取する

PANews 7月18日付の報道によると、FinanceFeedsは、安全研究者がmacOSデバイスを狙う情報窃取型のマルウェアが暗号資産ユーザーを攻撃していることを発見したと伝えています。このマルウェアは、Telegram Desktopの会話を乗っ取り、パスワードやウォレットのデータベースなどを窃取することで、ユーザーアカウントをさらに制御し、デジタル資産を盗み出します。現在のところ、影響を受けているウォレットやアプリにはExodus、Atomic、Electrum、Wasabi、Moneroなどのソフトウェアウォレットが含まれています。マルウェアは、macOS Keychain、Safari Cookie、Apple Notes、Telegram Desktop、ならびに複数の暗号ウォレット関連データベースから、ログイン認証情報、認証済み会話ファイル、ウォレットデータ、ブラウザ拡張情報などの機微情報を抽出できます。

セキュリティ分析では、この攻撃チェーンの危険性は、単一のウォレット脆弱性に依存しているのではなく、端末上の複数種類のデータを収集することで、端末侵害、アカウント乗っ取り、ウォレットの解読、そしてシードフレーズ窃取をつなぎ合わせている点にあるとしています。その中でもTelegram Desktopの会話が重点的な標的となります。攻撃者は、認証済みのTelegramローカル会話データを複製し、別のMacデバイス上でログインを復元できます。これにより、電話番号、認証コード、またはTelegramの二要素認証（2FA）用のパスワードを入力する必要がありません。つまり、この攻撃シナリオでは、攻撃者が新規ログインを行うのではなく、すでに信頼されているローカル会話を悪用しているため、Telegramの2FAは完全な保護になりません。

暗号資産ユーザーにとっては、リスクがさらに拡大します。Telegramは、取引所のカスタマーサポート、プロジェクトコミュニティ、OTC取引、ウォレット間の連絡などで広く利用されているため、攻撃者がユーザーの会話権限を手に入れると、被害者になりすましてプライベートなチャットを読み取ったり、資産情報を特定したり、さらには連絡先へ悪意のあるリンクを拡散したりする可能性があります。