- Bitdefenderが報告したところによると、Robloxプレイヤーが「検出不可」を謳う偽のXeno Executorモッドに誘導され、マルウェアに感染しています
- 感染チェーンの末端では、JavaベースのRAT（遠隔操作型トロイの木馬）と情報窃取マルウェアが展開され、ブラウザデータ、オンラインアカウント、決済情報、暗号資産ウォレットが盗まれます
- このマルウェアは監視・遠隔操作機能も備えており、キャンペーンは2026年3月にピークを迎え、8,200万人のRoboxプレイヤーを標的に現在も活動を続けています
サイバー犯罪者がRobloxプレイヤーを標的に、感染したコンピューターを完全に制御できる情報窃取マルウェアとRAT（遠隔操作型トロイの木馬）を使った攻撃を仕掛けていると、専門家が警告しています。
Robloxは、ユーザーが数百万本ものゲームやユーザー制作のMod（改造データ）で遊べるオンラインゲームプラットフォーム、仮想空間、そしてゲーム制作システムです。そのModの一つであるXeno Executorは、プレイヤーが特定の操作を自動化したりカスタムコードを実行したりできるスクリプトを走らせるためのユーティリティです。一部のプレイヤーはXeno Executorをチート行為にも利用しています。
これは非公式スクリプトであるため、Robloxはこれを許可しておらず、新バージョンがリリースされるたびにブロックしています。今回、セキュリティ研究者のBitdefenderは、各種ゲーミングフォーラムやDiscordコミュニティなどで「検出不可」とうたわれるバージョンが広められているのを発見したと報告しています。
CornFlakeとCocoShell
この偽バージョンはRobloxの不正防止システムに対して「検出不可」であると宣伝されていますが、実際には感染チェーンを引き起こすだけで、最終的にはJavaベースのRATと情報窃取マルウェアが仕込まれます。
このマルウェアは、Chrome、Edge、Brave、Opera、Vivaldiといった主要ブラウザからパスワードやCookieなどのデータを窃取するほか、Discord、Roblox、Minecraft、Microsoft Storeのトークンなど、オンラインアカウントや決済情報も盗み出します。
さらに暗号資産ウォレットのデータも窃取し、特にExodus Walletを標的にしています。
監視機能については、キー入力の記録、マウスの動きの追跡、スクリーンショットの取得、デスクトップ画面のストリーミング、Webカメラへのアクセスが可能です。攻撃者はファイルのアップロード・ダウンロードやPowerShellコマンドの実行なども行えます。
このキャンペーンは今年初めに始まり、3月にピークを迎えたとされています。現在は落ち着きを見せているものの、依然として比較的活発な状態が続いています。
このキャンペーンでどれだけの数のプレイヤーが被害に遭ったかは分かっていませんが、Robloxは非常に人気の高いプラットフォームであるため、キャンペーンがかなりの成功を収めた可能性もあります。
Activeplayerによると、Robloxの現在のアクティブプレイヤー数は8,200万人を超えています。
