SuspiciousCurlCommand Analytics は、ダウンロードイベントから、まずディスクに書き込みを行わずにコンパイルや実行を行うことのできるスクリプトインタープリターへ、スクリプトコードを直接受け渡すために、curl ユーティリティが使用されている疑い深いアクティビティを検出します。
curl は、ホストコンピュータへデータ転送を簡単に送受信するために使用される macOS の内蔵コマンドラインユーティリティです。デバイスの他のユーティリティへダウンロード済みのデータ (スクリプトコードなど) をディスクに書き込むことなく直接受け渡す機能があります。このようなアクティビティがディスクに書き込まれることなくメモリ内で発生すると、従来のファイルベースの署名検出の方法は効果的ではなく、アクティビティが検出されないままになることがあります。
このテクニックは、最近発見されている XCSSET マルウェアファミリーにより使用されていることが発見されています。ここでは、マルウェアは、curl を利用して、ダウンロード済みのスクリプトを直接メモリでコンパイルし、実行しています。curl の出力が AppleScript などのインタープリター言語に送り込まれると、この検出により、curl の実行が監視され、アラートがトリガーされます。これは curl に対する疑わしい挙動と見なされていて、悪意のあるアクティビティを示すものであることがあります。リモートスクリプトがメモリで直接実行されているからです。
このタイプの脅威の詳細については、MITRE ATT&CK Tactic:Command and Control (コマンド＆コントロール) および MITRE ATT&CK Technique:Ingress Tool Transfer (侵入ツールの送り込み) を参照してください。