YouTube広告に潜む偽TradingView、macOSのGatekeeperをすり抜けるマルウェア

広告経由で仕込まれる偽インストーラー #

セキュリティ企業SafeDepが報告した事例では、YouTubeの有料動画広告が「TradingViewを1年間無料利用できる」とうたい、クリックすると偽サイト経由でlatest_v19.398.7_setup.pkg(約2.1MB)をダウンロードさせていた。このpkgは中身がほぼ空の「ローダー」で、インストール時に管理者パスワードを騙し取り、平文のまま/Users/Shared/.passwdに保存する。本体の悪性コードは後から段階的に降ってくる仕組みで、初回スキャンをすり抜けやすい。

署名済みNode.jsを「踏み台」にGatekeeperを回避 #

このマルウェアの核心は、Appleの署名済みNode.jsバイナリを署名代理として悪用する点にある。ペイロードはAES-256-CBCで暗号化されたV8バイトコードとして配信され、メモリ上でのみ復号されるためディスク上に検知対象の平文コードが残らない。さらにローカルにTLS終端プロキシと信頼済みルート証明書を仕込み、ブラウザのCookie・パスワード・キーチェーン・キーストローク・仮想通貨ウォレットまで一括で盗み出す。C2との通信はWebSocket経由のtRPCで、JWTトークンを使い任意のbashスクリプトをその都度取得・実行できる。

「消しても5分で復活」という執拗さ #

厄介なのは持続性で、常駐用のLaunchAgentを手動削除しても5分以内に自動再有効化される。完全な駆除にはリカバリー環境からの作業が必要という。この手口はWindows向けにも2025年上半期だけで3万5000件超の悪質広告が確認された大規模キャンペーンの一部だ。有料ソフトは検索広告や動画広告からではなく、必ず公式サイトから直接入手する習慣が最大の防御線になる。