ブロックチェーンのセキュリティ企業SlowMistによれば、macOSの情報窃取型マルウェアはTelegram Desktopのセッションを侵害し、そこからソフトウェアおよびハードウェアの暗号資産ウォレットの両方を標的にできるという。報告書では、複数のmacOSソースから資格情報とウォレットデータを収集する攻撃チェーンが説明され、そのアクセス権を活用して、通常の方法でTelegramの二段階認証を破ることに依存しない手法により、資金のスワップや流出（ドレイン）を行うとしている。

SlowMistによると、このマルウェアはmacOSのキーチェーン、SafariのCookie、Apple Notes、Telegram Desktop、さらに何十もの暗号資産ウォレットに紐づいたデータベースファイルから秘密情報を抽出するという。パスワードや認証済みセッションデータを収集した後、Telegram Desktopのセッション情報とウォレットのデータベース、さらにブラウザのウォレット拡張機能データをコピーし、口座乗っ取りのための追加攻撃を可能にする。

要点

• SlowMistの報告によると、マルウェアはmacOS上のTelegram Desktopの既存セッションを、強制的に新しいログインを行わせるのではなく、認証済みのローカルデータを再利用することでハイジャックできます。

• マルウェアはパスワードを盗むだけでなく、人気のソフトウェアウォレットとハードウェアウォレット管理者の両方について、ウォレットデータベースとアプリケーションデータを標的にします。

• マルウェアは検証チャレンジを通過する必要を回避するため、Telegramの2段階認証はこの攻撃を阻止できない可能性があります。

• SlowMistは、2つの追加戦略を概説しています。収集したパスワードを使ったオフラインのウォレットデータベース復号、またはウォレットアプリ（例：Ledger/Trezorのソフトウェア）をデコイ（偽装アプリ）に置き換えてリカバリーフレーズを捕捉する方法です。

Telegram Desktopが侵入口になる仕組み

SlowMistの中核となる警告は、macOS上のTelegram Desktopアカウントは、ユーザーが2段階認証を有効にしていても侵害される可能性がある、という点です。理由はアーキテクチャにあります。同社によれば、認証と検証を求める新しいログインを作成する代わりに、マルウェアがデバイスに保存された、すでに認証済みのローカルセッションを再利用するためです。

SlowMistのテストでは、盗まれたTelegram Desktopのセッションデータを別のMacに復元しましたが、ユーザーが電話番号、認証コード、2段階認証パスワードを入力する必要はありませんでした。この違いが重要なのは、2段階認証はログインを保護するために設計されている一方で、この手法は新しい環境に持ち越せるセッションの“材料”を狙うからです。

実務的な結論は、Telegram Desktopは、認証情報とセッションファイルがマルウェアにアクセス可能な場合、高価値の標的として扱うべきだということです。攻撃者がセッションを別のマシンへ移動できるなら、その後の手順—連携アカウントへのアクセス獲得、情報の交換、あるいは被害者を危険な行動へ誘導すること—は、新規認証に適用される保護を作動させずに進められる可能性があります。

ウォレットデータ窃取は、ソフトウェアウォレット、ハードウェアマネージャ、ノードデータベースに及ぶ

SlowMistによれば、このマルウェアはTelegramに限定されていません。ウォレット関連のデータを、ウォレットアプリケーションやフルノードクライアントなど、幅広いソースから収集します。

ウォレット側では、SlowMistはExodus、Atomic、Electrum、Wasabi、Moneroといったソフトウェアウォレットを挙げています。また、Ledger LiveやTrezor Suiteを含むハードウェアウォレットのソフトウェアインターフェースを狙うことも指摘しています。これらは、ハードウェア機器を管理し、ユーザーが残高をどう表示し、取引をどのように開始するかを頻繁に連携するソフトウェア層です。

単体のウォレットを超えて、このレポートは、フルノードクライアントによって保存されているウォレットデータをマルウェアが探すと述べています。影響を受ける対象として、Bitcoin Core、Litecoin Core、Dash Core、Dogecoin Coreが挙げられています。投資家やトレーダーにとっての示唆は明快です。ウォレット情報はウォレットアプリの中だけに存在するわけではありません。マルウェアがノードソフトウェアに関連するローカルストレージに到達できれば、攻撃者がウォレット機能へのアクセスを試みたり、再現したりするのに役立つ追加の素材を見つけられる可能性があります。

SlowMistは、ウォレットのデータベース以外にも収集していると説明しています。SafariのクッキーやApple Notesも含まれます。これらの要素は、攻撃者のアクセス持続能力を高めたり、ユーザーの行動を理解したり、特定の1つのウォレットフォルダに保存されていない機微情報を抽出したりするのに役立つ可能性があります。

オフライン解読と偽のリカバリーフロー

パスワードと認証済みセッションデータを収集した後、SlowMistは、攻撃者が盗んだウォレットのデータベースをオフラインで復号（解読）しようとする可能性があると述べています。攻撃者は感染デバイスから得たパスワードを使うため、回数制限やその他の防御を引き起こしうる、繰り返しのオンライン試行の必要性が減ります。

SlowMistは、別のアプローチとして、正規のLedgerおよびTrezorのアプリケーションを偽のバージョンに置き換える手法も説明しています。このシナリオでは、被害者は偽のソフトウェアにリカバリーフレーズを入力するよう騙され得ます。特に危険なのは、リカバリーフレーズが資金にアクセスするための実質的な「マスターキー」として機能するためです。

SlowMistは、隔離された環境で攻撃チェーンを再現したと述べており、説明された手順が別々の能力としてではなく、一緒に実行できることを裏付けています。

ユーザーにとっての重要なリスクは、ウォレット侵害が複数段階になり得ることです。攻撃者が最初にTelegramセッションへのアクセスを獲得したとしても、マルウェアがより広範にウォレットのデータベースやアプリケーションデータを収集することで、価値の抽出を直接試みたり、リカバリ認証情報を取得するソーシャルエンジニアリングへ切り替えたりすることが可能になります。

Telegramの通常の保護では不十分かもしれない理由

SlowMistの調査結果は、アカウント乗っ取り（ATO）事件に繰り返し見られるテーマを浮き彫りにしています。セキュリティ機能が、ときに特定の脅威モデルを前提に設計されてしまうことです。Telegramの2段階認証は新規ログインを保護するのに役立ちますが、マルウェアの手法—認証済みのローカルセッションを持ち越すこと—によって条件が変わります。

攻撃者はサインイン時にユーザーへ検証を要求するのではなく、端末がすでに確立しているセッションデータで動作します。そのため「2FAをオンにした」という安心感は、マルウェアがすでに存在し、セッション関連ファイルを読み取れる状態だと、あまり意味を持ちません。

SlowMistは、侵害が疑われる人向けに即時の運用手順も推奨しています。既存のTelegramセッションを終了し、新しい信頼できるログインを作成し、Telegramの2段階認証パスワードとTelegram Desktopのパスコードの両方を更新するよう促しています。これらの手順は、乗っ取られたセッションの内容を無効化し、Telegramに新しい認証フローを通じて信頼を再構築させることを目的としています。

同社はさらに、クリーンな端末で新しいリカバリーフレーズを生成し、資産を新しいアドレスへ移すことを助言しています。目的は、侵害されたウォレット状態と、保護が必要な資産との間のリンクを断ち切ることです。ウォレットアプリやリカバリ—資料が露出していた場合、侵害後に同じリカバリーフレーズを再利用すると、すでに十分な情報を持ってアクセスを取り戻せる攻撃者に対して資金が脆弱なままになり得ます。

SlowMistのレポートは、暗号資産のセキュリティは紙に鍵を書いて守ることや、メッセージングアプリで2FAを有効化することだけではない、という注意喚起になります。マルウェアがセッションデータとウォレットデータベースの両方にローカルでアクセスできる場合、防御は端末の衛生管理（デバイスの健全性）と迅速なインシデント対応にまで広げる必要があります。ユーザーは侵害の兆候を注意深く監視し、どのTelegramセッションがアクティブのままかを確認し、疑わしい感染の後は資金を新しいアドレスへ移す準備をしておくべきです。

この記事はもともとSlowMistの記事として掲載されました：『macOSのマルウェアがTelegramのセッションを乗っ取り、暗号ウォレットを狙う—暗号ブレイキングニュースにおけるあなたの信頼できる情報源（暗号ニュース、ビットコインニュース、ブロックチェーンの最新情報）』。