大規模なドメインなりすましキャンペーンが、人気の高いWindowsアプリケーション70種類以上を標的に、偽のダウンロードサイトやドキュメントサイトを展開していることが判明しました。このインフラがマルウェア配布に転用される可能性があるとして懸念が高まっています。
この攻撃活動では、そっくりなドメイン名、盗用したブランディング、AI生成コンテンツ、検索エンジン最適化（SEO）の手法が組み合わされ、正規ソフトウェアを探すユーザーを誘い込んでいました。
この活動が明るみに出たきっかけは、Wintoysの開発者がGoogle検索結果に不正なドメイン「wintoys app」が表示されていることに気づいたことでした。
このサイトはアプリケーション名と古いロゴを流用し、ガイドやドキュメント、公式ダウンロードリンクを提供する独立系サイトを装っていました。
確認時点でダウンロードボタンは正規のMicrosoft Storeにリンクしていたものの、開発者はこのサイトについて認可や提携関係が一切ないことを確認しています。
Wintoysの開発者は、WHOISレコードに記載されていた匿名化された連絡先アドレス「[email protected]」を手がかりにこのキャンペーンの実態を追跡しました。
このアドレスは、Windows向けユーティリティやフリーウェア、オープンソースプロジェクト、その他のソフトウェアブランドになりすました72個のドメインに関連付けられていたと報告されています。
確認された例としては、PowerToys、WinUtil、EasyBCD、CrystalDiskInfo、FreeFileSync、SpaceSniffer、Hashcat、OCRmyPDF、HWiNFO関連ツールなど、検索頻度の高いアプリケーションに似せたドメインが挙げられます。
これらのドメインの多くは、powertoys.app、easybcd.app、winutil.app、crystaldiskinfo.app、spacesniffer.appといったように、アプリ固有の名称とトップレベルドメインを組み合わせており、一般ユーザーには信頼できるサイトのように見える作りになっていました。
これらのサイトは、内容の薄い一般的な記事や不正確な技術情報で埋め尽くされたWordPressページを利用していたと報告されています。
こうした手法により、悪意ある運営者やグレーマーケットの業者は、ダウンロードの挙動を変更したり、広告を挿入したり、サードパーティのインフラへトラフィックをリダイレクトしたりする前段階として、検索での可視性を築くことができます。
当初のレジストラであるEpikはこの活動について通報を受け、登録者に対して該当ドメインの移管、もしくは停止のいずれかを求めたとされています。
7月22日までに、これらのドメインはDynadotへ移管されたとみられており、運営者がレジストラを迅速に切り替えることでなりすましネットワークを維持できることを示しています。
現時点では、確認されたドメインすべてが実際にマルウェアを配布しているという公開された証拠はありません。
しかし研究者らは、オープンソースやフリーウェアのプロジェクトになりすました偽サイトがまずGoogleの検索順位を積み上げ、その後ダウンロードのクリックをトラフィック分配システム（TDS）経由でゲート制御するという、密接に関連したより広範な手口を確認・記録しています。
この記録されたキャンペーンでは、ダウンロードボタンが検査時には正規の上流URLを表示・保持しつつも、実際にはユーザーのクリックを横取りし、悪意ある配布チェーンへとリダイレクトすることがありました。
このTDSは、初回訪問かどうか、クリックの確認、IPレピュテーション、VPNやデータセンターの検知、アンチボットチェック、頻度制限といった条件でフィルタリングを行っており、研究者や自動スキャナーが悪意ある挙動を再現しにくくしていました。
Check Pointの研究者は、このインフラをSessionGate、Remus Stealer、AnimateClipperといったペイロードと関連付けています。
SessionGateは解析回避を目的とした多段階のローダーです。Remus Stealerはブラウザデータ、暗号資産ウォレット、パスワードマネージャー、二要素認証アプリケーションを標的にする可能性があります。AnimateClipperはコピーされた暗号資産ウォレットアドレスを差し替える機能を持っています。
この手口が特に危険なのは、偽サイトが最初の段階では無害な状態を保てる点です。運営者は実在するプロジェクトへのリンクや見覚えのあるロゴ、一見役に立ちそうなページを使うことで、ユーザーの信頼を獲得していきます。
一度サイトがトラフィックと検索順位を獲得すると、攻撃者はダウンロードリンクを選択的に切り替えたり、特定の被害者だけをマルウェアのインフラへリダイレクトしたりすることが可能になります。
ユーザーは、Windows向けソフトウェアを公式開発元のサイト、検証済みのGitHubリポジトリ、Microsoft Storeの掲載ページ、信頼できるパッケージマネージャーからのみダウンロードするべきです。
自社アプリケーションが今回のドメインリストに含まれている開発者は、検索結果を監視し、公式のダウンロード先を目立つ形で公開するとともに、なりすましドメインをレジストラやホスティングプロバイダーに報告し、有害なURLをGoogle Safe Browsingに提出するべきだと、Redditの投稿は指摘しています。
また組織は、疑わしいなりすましのドメインをDNS層やセキュアウェブゲートウェイ層でブロックし、ソフトウェアダウンロードに伴うリスクをユーザーに周知するとともに、非公式サイトからインストーラーを入手したエンドポイントについては調査を行うべきです。
今回のキャンペーンは、悪意あるペイロードが目に見える形で展開されるずっと前から、ドメインなりすましとSEO悪用によって拡張性の高いマルウェア配布パイプラインが構築されうることを示しています。
SOC調査の死角を減らし、ANY.RUNで脅威を早期に封じ込めることで、対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/fake-windows-app-malware-campaign/
