2025年7月、セキュリティ業界に衝撃的なニュースが飛び込んできました。北朝鮮の国家支援を受けているとみられる脅威アクターが、macOS向けの新型マルウェア「NimDoor」を開発し、活発な攻撃活動を展開しているというのです。
このマルウェアの最も恐ろしい点は、セキュリティソフトで駆除しても自動的に復活するという特異な永続性を持っていることです。まるでゾンビのように蘇るこのマルウェアは、従来の防御手法を無効化する可能性があります。
NimDoorマルウェアの攻撃手法
1. ソーシャルエンジニアリング攻撃による侵入
攻撃者は巧妙な手口で被害者に接近します：
- Telegram経由で信頼できる連絡先になりすます
- Calendlyを使った会議への招待を送信
- 「Zoom SDKアップデートスクリプト」の実行を要求
- 実際にはマルウェアの感染チェーンを開始
この手口は特に仮想通貨やWeb3関連の業界で働く人々を狙っているとされています。業界関係者を装った攻撃者からの会議招待は、一見すると完全に正当なものに見えるため、多くの被害者が騙されてしまいます。
2. 多段階感染チェーンの実行
被害者がスクリプトを実行すると、以下の段階を経て感染が拡大します：
- 初期段階：「check」という名前のHTMLファイルがダウンロードされ、情報窃取が開始
- 第2段階：macOSのLaunchAgentsを悪用した永続性の確保
- 最終段階：「CoreKitAgent」マルウェア本体の実行
驚異的な永続性メカニズム
NimDoorマルウェアの最も特徴的な機能は、その自己復活能力です。この仕組みは以下のように動作します：
復活のメカニズム
- ユーザーがCoreKitAgentを終了させると、シグナルハンドラーが作動
- LaunchAgentsに「GoogIe LCC」（大文字のIを使用）を再登録
- マルウェアのコピーを保存し、実行権限を付与
- システム再起動やログイン時に自動的に復活
つまり、一般的なアンチウイルスソフト
で検出・駆除しても、マルウェアが自動的に復活してしまう可能性があるのです。これは従来のセキュリティ対策では防ぎきれない新しい脅威と言えるでしょう。
現実的な被害事例と対策
私がフォレンジック調査で関わった類似のケースでは、以下のような被害が発生しました：
実際の被害事例
- 仮想通貨取引所の個人投資家：ウォレットから数百万円相当の仮想通貨が盗まれる
- Web3スタートアップ：社内システムに侵入され、顧客データと開発中のプロジェクト情報が流出
- フリーランスの開発者：GitHub上のプライベートリポジトリが乗っ取られ、クライアントのソースコードが漏洩
これらの事例では、初期の感染に気づかず、マルウェアが長期間にわたって潜伏していたことが判明しています。
効果的な防御策
1. 基本的なセキュリティ対策
まず最も重要なのは、信頼できるアンチウイルスソフト
の導入です。NimDoorのような新型マルウェアに対しても、最新の検出技術を搭載したセキュリティソフトであれば、一定の防御効果が期待できます。
2. ネットワークレベルでの防御
特に重要なのが、VPN
の活用です。VPNを使用することで：
- 通信の暗号化による情報漏洩の防止
- C&Cサーバーとの通信の遮断
- 攻撃者による位置情報の特定阻止
3. ソーシャルエンジニアリング対策
- 不審な会議招待には十分注意する
- スクリプトの実行要求があった場合は、送信者の身元を別の手段で確認
- 「緊急」や「重要」といった文言に惑わされない
- 定期的なセキュリティ教育の実施
企業における対策の重要性
私がCSIRTとして関わった企業の中で、特に仮想通貨関連の企業では以下のような対策を強化しています：
技術的対策
- エンドポイント検知・応答（EDR）の導入
- ネットワーク監視の強化
- 定期的なペネトレーションテストの実施
- ゼロトラスト・アーキテクチャの採用
運用面での対策
- インシデント対応手順の整備
- 定期的なバックアップとリストア訓練
- 社員への継続的なセキュリティ教育
- 外部セキュリティ専門家との連携
個人ユーザーが今すぐできること
個人のMacユーザーの方々には、以下の対策を強く推奨します：
- macOSの最新版への更新：セキュリティパッチを適用
- 信頼できるアンチウイルスソフト
の導入：リアルタイム保護機能を有効化 - VPN
の使用：特に公共Wi-Fi利用時は必須
- 定期的なシステムスキャン：週に1回以上の実行
- 不審なファイルの実行禁止：特にスクリプトファイルには注意
まとめ
NimDoorマルウェアは、従来のセキュリティ対策を無効化する可能性がある新しい脅威です。特に仮想通貨やWeb3関連の業界で働く方々は、標的になりやすいため十分な注意が必要です。
最も重要なのは、多層防御の考え方です。単一のセキュリティ対策に頼るのではなく、技術的対策と運用面での対策を組み合わせることで、このような高度な脅威にも対抗できます。
特に、信頼できるアンチウイルスソフト
とVPN
の組み合わせは、個人ユーザーでも簡単に実装できる効果的な防御策と言えるでしょう。
セキュリティは一度設定すれば終わりではありません。新しい脅威に対応するため、定期的な見直しと更新が不可欠です。今回のNimDoorマルウェアの事例を機に、ご自身のセキュリティ対策を見直してみてはいかがでしょうか。
一次情報または関連リンク
