ターミナルを開き、ファイルをドラッグして、Enterを押す。この操作の正体は、そのファイルに付いた出所の印を自分の手で消すことでした。Windows側の進捗バーに至っては、ダウンロードともインストールとも無関係な乱数が動いていただけです。破られた防御が見当たらないまま、認証情報が流れていきます。
SlowMistは2026年7月29日、偽求人でWeb3人材を狙う情報窃取キャンペーンを公表した。攻撃者はリクルーターを装い、Relayを称するAI会議サイトrelay.lcへ誘導する。
macOS版のRelay.dmgは正規アプリを含まず、隠しディレクトリ内の5.2MBの実行ファイルを921バイトのスクリプトが起動し、偽の認証ダイアログで得たパスワードをlogin.keychain-dbと併せて送信する構造だ。
対象は286種の拡張機能IDに及ぶ。Windows版はElectron 2.9.0製で、最速約9.8秒で進捗が80%に達するとrunUpdateを送る。無署名の約116MBのupdater.exeを管理者権限で起動するPowerShell命令もあるが、両者を結ぶ経路は復元されていない。分析はサンプルを実行せず行われた。
From: Threat Intelligence | Job Scam Alert: Interview Software Used to Deliver an Info-Stealing Malware
【編集部解説】
SlowMistの報告は、この攻撃にシステムの脆弱性が一切関与していないと明言しています。
ゼロデイもなく、署名の偽造もありません。復元されたmacOS側の経路は、ユーザー自身の操作、隔離属性の削除、偽のダイアログだけで組み立てられています。入口になったのは、「次の面談の前にミーティングアプリを入れてください」という、2026年のリモート採用ではごく普通に飛んでくる一文です。
端末制御やEDR、アプリの許可制といった技術的な備えが問われる場面はあります。それでもこの攻撃チェーンの起点にあるのは、採用プロセスへの信頼です。
ターミナルへのドラッグは、1年9か月前に現れていた
macOSの「ターミナルにドラッグ」という手順は、思いつきで生まれたものではありません。
Appleはかつて、未署名アプリをControlキー＋クリックの「開く」で実行できる抜け道を用意していました。macOS Sequoiaでこれを廃止し、利用者はシステム設定のプライバシーとセキュリティでソフトウェアの情報を確認したうえで許可する方式に変わりました。Apple自身はこれをランタイム保護の強化として説明しており、対象を特定の脅威に限定していません。
ターミナルへのドラッグという手法は、Sequoiaのリリース直後の2024年10月に報じられています。当時は.txtファイルをドラッグさせる形式でした。今回のRelay.dmgは、約1年9か月を経て同じ発想が使われた例です。同一の系譜が継続的に発展したことを示す証拠はありません。ただし、右クリックの経路が閉じたあとに残った選択肢が何であるかは、この2件が示しています。
この移行が「技術に詳しい人ほど刺されやすい」方向へ働いているのではないか、と編集部は見ています。ターミナルを開いてコマンドを走らせる操作は、素人にはハードルですが、開発者には日常です。OSの警告ダイアログを無視するときには心理的な抵抗が生じますが、自分の手でコマンドを実行する行為には、抵抗どころか「自分は分かっている」という感覚が伴います。技能別に被害率を比較したデータは見当たらないため、あくまで見立てです。
xattr -c は、その感覚のなかで実行されます。このコマンドは対象ファイルの拡張属性をまとめて消し、そのファイルに対する初回起動時の警告を回避させます。OS全体の保護が切れるわけではありませんが、ユーザーが自分の手で、そのファイルの出所確認を外していることになります。
狙われているのは「金庫」ではなく「金庫が開いている瞬間」
SlowMistが「一般的なブラウザー情報窃取型とは異なるコードパス」として挙げているのが、Windows側の拡張機能プロセスのメモリー走査です。
この種のマルウェアは、ブラウザーのローカルファイルやCookie、トークンを持ち帰る手法が広く使われており、暗号化されたウォレットの保管庫をあとから開けようとする例もあります。今回のコードは、その手前に踏み込んでいます。稼働中のChromeとBraveの拡張機能プロセスを開き、syncPasswordAndUnlockWallet という文字列を手がかりに、メモリー上のパラメーターを直接取り出す設計です。
つまり、狙われているのは「鍵の入った金庫」ではなく、「金庫が開いている瞬間」です。解錠時の値がプロセスメモリーから取得された場合、保管庫の暗号化やパスワード保護だけでは窃取を防げない可能性があります。ただし走査の成立には、対象拡張機能の実装、値の残存状況、プロセスを開く権限など複数の条件が絡みます。確実に通る経路ではありません。
ここでもうひとつ、留保が必要です。進捗が80%に達するとrunUpdateという内部メッセージが送られ、バイトコード上には無署名のupdater.exeを管理者権限で起動するPowerShell命令が併存しています。ただしSlowMistは、このメッセージから命令へ至るコード経路を、コンパイル済み中間コードからは完全に再構成できていないと明記しています。設計として意図されている可能性は高いものの、実行が確認された挙動ではありません。
永続化についても同様です。復元できたデータの範囲で、macOS版に再起動後の永続化は確認されませんでした。SlowMist自身、プログラムの構造から見て1回の実行のうちにデータ収集とパッケージング、ネットワーク送信を完了させる設計に見えると述べています。対してWindows版が3系統の永続化を試みる構成は、ユーザーが後からウォレットを解錠する機会を待つ目的とも整合します。この見方に立てば、永続化はこの攻撃にとって追加の便宜ではなく、成立条件に近い位置にあります。SlowMistは攻撃者の設計意図までは確定していません。
マルウェアが「プロダクト」として構成されている
もうひとつ、防御側として見逃せないのがSentryの使い方です。
Sentryは開発者がアプリのエラーを監視する正規のクラウドサービスであり、開発環境の通信としては何の違和感もありません。そこへ、MachineGuidやプロセスID、Init / Conn / Success といった段階ラベル、そして窃取したパラメーターを含む構造まで流れています。
自分のマルウェアを「プロダクト」として運用し、稼働状況を監視することを意図した構成だと読めます。実際にダッシュボードが閲覧されていたかどうかは、報告書からは分かりません。それでも、C2ドメインを遮断しても監視SaaS宛ての通信までは止められていない環境が少なくないだろうと、編集部は見ています。プロキシやCASBの許可リストの設計次第で、この経路の扱いは変わります。
ウォレットの話として読むと、範囲を見誤る
収集対象に並ぶのは、ブラウザーのCookieとトークン、1PasswordやLastPassなどパスワードマネージャーの拡張機能、macOSのログインKeychain、Telegram Desktopのtdata、そしてApple メモの中身です。macOS側のコードには286種の拡張機能IDを収めたマッピングテーブルが埋め込まれ、コード中から304回参照されています。
パスワードを変更しただけで、既存のセッションがすべて失効するとは限りません。だからSlowMistは、パスワードの変更ではなくセッションの明示的な失効を推奨し、オンチェーン資産の増減だけを見るなと書いています。
個人の端末1台の感染が、勤務先のSaaSアカウントへ横に広がる。今回のRelayで組織侵害が発生したと確認されたわけではありませんが、コードが示す収集範囲は個人のインシデントの枠に収まりません。
背景の数字と、帰属についての留保
TRM Labsは、2026年上半期に北朝鮮系のハッカーが約6億4300万ドル（1ドル＝163円換算で約1050億円、7月30日時点のレート）の暗号資産を盗み、世界の被害額の約3分の2を占めたと報告しました。同期間の世界全体の被害額は約9億7200万ドルで、2025年上半期の約23億ドルからは減少しています。別の集計では、上半期の被害額を約11億ドル、確認された侵害件数を212件とし、ラザルスグループを含む北朝鮮系の関与を約55%と見る数字もあります。集計主体によって対象範囲の定義が異なるため、幅があることは頭に入れておいてよいでしょう。
ただし今回、SlowMistは攻撃者の帰属について何も述べていません。特定の国家や集団に結びつける記述は報告書にありません。編集部としても、手口の類似から出自を推定することは避けます。
参考までに、日本を標的とする際、DPRK系の偽面談オペレーションが日本のIPアドレス範囲やVPNノード、VPSを経由して接続していたという分析も公表されています。これは別のキャンペーンについての報告で、Relay自体の標的地域は明らかになっていません。それでもこの種の攻撃が日本の求職者を射程から外していると考える理由は見当たりません。
見落とされやすい、ふたつの構造
ひとつは、今回の報告に記載された攻撃チェーンに、リポジトリもnpmパッケージも登場しないことです。近年広く観測されてきた偽面談マルウェアは、GitHubやGitLab、Bitbucketのコーディング課題を装ってOtterCookieのようなバックドアを配る形でした。「知らない相手のコードを実行しない」という警戒線を引いていた人でも、Relayの導線はその線の外側から入ってきます。
もうひとつは、com.fymeet.app という定数とsysupdwin.exeというファイル名の重複です。SlowMistはサンプルが入手できないため命名の一致しか確認できないと明言しており、断定は避けています。それでも編集部としては、ブランド名を差し替えて再利用できるツールキットが背後にある可能性を想定しておくべきだと考えます。捨てられるのはドメインで、残るのは仕組みです。
この想定には前例があります。2025年2月に報じられたGrassCallは、それ以前の「Gatherum」というAI機能を掲げた仮想会議ソフトウェアのサイトを複製したものだと研究者に指摘されていました。運営はロシア語圏の犯罪グループCrazy Evilに帰属されています。司法上の認定ではなく脅威インテリジェンス上の判断ですが、偽の会議ツールという導線が、単一の主体だけの手口ではないことは示しています。
採用する側にとっての論点
そして、この記事を読んでいるあなたが採用する側なら、視線を逆に向ける価値があります。
自社の面談で使うツールを、候補者に対して事前に文書で明示していますか。候補者が「聞いていないツールを入れろと言われた」ときに照会できる窓口はありますか。
採用プロセスの透明性は、いまや福利厚生ではなく、セキュリティ対策の一部です。
【関連記事】
Realstマルウェア最新動向：AIが生成する偽ビデオ会議で狙われるWeb3プロフェッショナル
偽のAI会議アプリでWeb3人材を狙う手口の先行事例。5つの偽企業サイトを使い分け、盗用した電子署名で正規アプリを装った。
Mac向け新脅威「Shamos」が急拡散、ターミナルコマンド実行を促す巧妙手口
macOSでユーザー自身にコマンドを実行させる手口を解説。Gatekeeper、xattr、Keychainの役割も整理している。
VS Codeを開いた瞬間に感染。北朝鮮ハッカーが仕掛ける「採用面接」という新たな罠
採用面接を装う攻撃の主流形態。VS Codeのtasks.json自動実行を悪用し、StoatWaffleを配布した事例である。
【編集部後記】
Chromeの「その他のツール」からタスクマネージャーを開くと、拡張機能がプロセス単位で並んでいます。Windows側に埋め込まれたcallsoulが列挙し、syncPasswordAndUnlockWalletを探していたのは、この一覧です。
自分の端末で、ウォレット拡張がどれだけの時間そこに常駐し続けているかが見えます。解錠したときのパラメーターは、そのプロセスのメモリーに何秒残るのか。MetaMaskやPhantomの実装側で、その滞留時間を縮められるのか。
【用語解説】
Gatekeeper
macOSに標準搭載された実行制御機構である。App Store外から入手したソフトウェアについて、開発者署名や公証の有無などを確認し、条件を満たさないものの起動を止める。利用者がシステム設定から個別に承認する経路も用意されている。
公証（Notarization）
Appleによる自動スキャンとセキュリティチェックを受けたことを示す仕組みである。通過したソフトウェアにはチケットが発行され、Gatekeeperが確認できるようになる。安全性を恒久的に保証するものではない。今回のインストーラーはこの工程を経ていない。
隔離属性（quarantine attribute）
インターネット経由で入手したファイルにmacOSが自動的に付与する拡張ファイル属性である。初回起動時に出所確認の警告を表示する引き金となる。xattr -c コマンドは、隔離属性を含む拡張属性をまとめて削除する。
ログインKeychain
macOSがパスワードやAPIキー、証明書などを保管するデータベースである。通常はユーザーのログインパスワードで解錠されるため、パスワードとデータベース本体が同時に流出した場合、復号を試みられるリスクが大きく高まる。
情報窃取型マルウェア（インフォスティーラー）
端末上の認証情報を収集して外部へ送信することを主目的とするマルウェアの分類である。ブラウザー認証情報、Cookie、トークン、クリップボード、Keychainなど、対象と手法は多様である。ランサムウェアのように動作が可視化されないため、感染に気づかないまま被害が拡大しやすい。
ゼロデイ
開発元が把握していない、または修正パッチが存在しない脆弱性を指す。SlowMistは今回の攻撃についてシステムの脆弱性が関与していないと述べており、成立には利用者自身の操作が必要である。
拡張機能プロセスのメモリー走査
ブラウザーが拡張機能ごとに分離して起動しているプロセスを開き、そのメモリー内容を読み取る手法である。ディスク上のファイルではなく、稼働中のメモリー上に置かれた値を狙う。
syncPasswordAndUnlockWallet
ブラウザー拡張機能型ウォレットの解錠処理に関連するメソッド名である。マルウェアはこの文字列を目印にして、近傍のパラメーター値を抽出する設計になっている。抽出される値が常に平文のパスワードであると実証されたわけではない。
callsoulupdater.exe の内部に埋め込まれたプログラムが用いる内部モジュール名である。再起動後の永続化の設定と、拡張機能プロセスのメモリー走査を担う。一般に流通するマルウェアファミリー名ではない。
tdata
Telegram Desktopがローカルにセッション情報とログイン情報を保存するディレクトリである。複製されると、別の端末から既存のセッションを復元されるおそれがある。復元可能性はバージョンや追加認証の設定によって変わる。
永続化（Persistence）
端末の再起動後もマルウェアが自動実行される状態を作る手法の総称である。今回のWindows側は、レジストリのRunキー、RunOnceキー、スタートアップフォルダーの3系統を試みる。成功するかどうかは権限と環境に依存する。
MachineGuid
Windowsのレジストリに保存される、OSインストールの識別に使われる値である。複製や再生成があり得るため厳密な唯一識別子ではないが、マルウェアは感染端末を区別する目的で利用している。
セッショントークン
ログイン済みの状態を証明するためにブラウザーやアプリが保持する認証情報である。これが盗まれた場合、パスワードを変更しただけでは既存セッションが失効しないことがあるため、明示的な全セッション失効が推奨される。
C2（コマンド&コントロール）
攻撃者がマルウェアに指示を出し、窃取したデータを受け取るためのサーバーおよびその通信経路を指す。
IOC（侵害指標）
攻撃に関連するドメイン、URL、ファイルハッシュなど、侵害の痕跡を機械的に照合できる形で整理した情報である。組織の防御機器に登録して遮断や検知に用いる。
Contagious Interview
偽の採用面談を装って開発者にマルウェアを実行させる一連のキャンペーンの呼称である。DeceptiveDevelopment、DEV#POPPERなど複数の名称で追跡されており、ベンダーごとに対象範囲の切り方は一致しない。
OtterCookie
Contagious Interviewで広く観測されているバックドアである。2024年9月に初めて観測され、当初は簡易な遠隔コマンド実行と暗号資産の鍵探索が中心だったが、モジュール構造を備えた情報窃取型へと発展した。
GrassCall／ChainSeeker.io
2025年2月に報じられた、架空の企業と偽求人を組み合わせた攻撃で使われた偽のオンライン会議ツールと、その運営を装った架空企業名である。脅威インテリジェンス上、ロシア語圏の犯罪グループCrazy Evilに帰属されている。前身のGatherumもAI機能を掲げた会議ソフトウェアを自称していた。
【参考リンク】
SlowMist（外部）
2018年1月設立のブロックチェーンセキュリティ企業。同社によれば、暗号資産犯罪の調査実績は国連機関にも引用されている。
MistEye（外部）
SlowMistが自社開発したWeb3向けの脅威インテリジェンス・動的セキュリティ監視基盤。ドメインやハッシュを対象に検知する。
MistEye API ドキュメント（外部）
依存関係のスキャンや悪性パッケージの照合をAPI経由で実行するための技術文書。今回のIOCも統合済みで、開発者向けに公開されている。
MistEye-DepScan（GitHub）（外部）
依存関係とグローバルインストール済みパッケージを一括スキャンするCLIツール。npmやPyPI、Cargo、Goなども含む。
Updates to runtime protection in macOS Sequoia（外部）
macOS SequoiaでControlキー＋クリックによるGatekeeper迂回を廃止したことを伝えるAppleの公式告知。
Sentry（外部）
アプリのエラーや例外を収集・可視化するクラウド監視サービス。開発者に広く使われ、今回のサンプルが第2の送信経路に利用した。
Electron（外部）
HTML、CSS、JavaScriptでデスクトップアプリを構築するフレームワーク。Windows側インストーラーが採用。
Google Chrome（外部）
今回のメモリー走査の対象となったブラウザー。タスクマネージャーを開くと、稼働中の拡張機能がプロセス単位で並んでいるのが見える。
Brave Browser（外部）
プライバシー機能を前面に出したChromium系ブラウザー。Chromeと並び、今回のメモリー走査の対象に指定されている。
MetaMask（外部）
イーサリアム系で広く使われるブラウザー拡張機能型ウォレット。macOS側の窃取対象リスト286種のIDのうちの1つ。
Phantom（外部）
Solanaを中心に複数チェーンへ対応するブラウザー拡張機能型ウォレット。MetaMaskと同様、窃取対象リストに含まれる。
Telegram Desktop（外部）
Telegramの各OS向けデスクトップクライアント。ローカルのセッション情報を保存するtdataが収集対象となっている。
1Password（外部）
パスワードマネージャー。LastPassなどと並び、ブラウザー拡張機能が窃取対象リストに含まれている。製品側の脆弱性を意味しない。
TRM Labs（外部）
暗号資産の不正資金移動を追跡するブロックチェーン分析企業。国家関与の事案も対象に含み、半期ごとに被害統計を公表している。
【参考記事】
North Korea behind two-thirds of crypto theft in H1 2026, report says（外部）
TRM Labsの集計。2026年上半期に北朝鮮系が約6億4300万ドルを盗み、世界の約3分の2を占めたと報じる。
North Korean hackers stole two-thirds of crypto in 2026: report（外部）
同じTRM Labs集計を世界全体の数字とあわせて整理。上半期の被害総額9億7200万ドル、北朝鮮系66.2%。前年同期は23億ドル。
Crypto Hacks Hit All-Time High as North Korea Drains Over $600M and AI Agents Become New Target（外部）
Blockaid集計。2026年上半期の侵害212件、被害11億ドル超、北朝鮮系の関与を約55%と見積もる。TRMとは定義が異なる。
Security Bite: Hackers are now directing users to Terminal to bypass Gatekeeper in macOS Sequoia（外部）
macOS Sequoia後、攻撃側が右クリックからターミナルへのドラッグへ移行した初期事例。当時は.txtファイル形式だった。
Contagious Interview: Malware delivered through fake developer job interviews（外部）
偽面談の主要形態を整理。GitHubやBitbucket、npmを装いOtterCookieなどを配る経路を詳述。VS Code悪用にも言及。
GrassCall malware campaign drains crypto wallets via fake job interviews（外部）
2025年2月の先行事例。ロシア語圏Crazy Evilが架空企業ChainSeeker.ioで求人を出し偽会議アプリを配布。
