CNNのホームページとほぼ同じ見た目に作られたウェブサイトが、訪問者に「新しいCNNアプリ」のダウンロードを促しています。しかし、これはCNNのアプリではなく、このニュース企業とは一切関係がありません。
このキャンペーンはCNNだけにとどまりません。同様に精巧に作られた偽サイトでホストされた偽のStremioやAvastのインストーラーも使われており、いずれもWindowsユーザーを標的にしています。これらのインストーラーは、正規のリモート管理ソフトウェアをユーザーにインストールさせるための同一キャンペーンの一部であり、そのソフトウェアはすでに攻撃者のアカウントに紐づけられています。
被害者が期待していたソフトウェアの代わりにインストールしてしまうのは、O&O Syspectrという、IT部門がコンピューターを管理するために使う正規のデジタル署名付きリモート管理ツールです。悪意ある者の手に渡れば、このツールは攻撃者に被害者のPCへのリモートアクセスを与え、コマンドの実行や追加ソフトウェアのインストール、ファイルやデータの閲覧を可能にしてしまいます。CNN、Avast、Stremioを装ったいずれの誘導先も、同一のSyspectrアカウントにつながっています。
別の偽サイトでは、信頼されたブランドの代わりに偽の暗号資産マイニング型ブラウザゲームを使っていますが、配布されるソフトウェア自体は別のSyspectrアカウントから同じものが送り込まれます。
今回発見した内容と、なぜアンチウイルスソフトがこれを阻止できないのか、そして毎回必ず見破れる10秒でできるチェック方法について解説します。
偽CNNページの実態
このサイトはCNNの本物のホームページを非常に精巧にコピーしており、大半の人は二度見しないほどです。最新の見出し記事、同じレイアウト、さらには実際の記事に付いた赤い「Live Updates」タグまで再現されています。ページを開くとほぼ即座にポップアップが表示され、「新しいCNNアプリで最新ニュースをいち早く入手 ― ライブかつ無料」というメッセージとともに、その下に赤い「Download」ボタンが配置されています。
このボタンの裏にあるファイルはCNN_App.setupad4693fd-d903-4791-8f58-975261c93ca2.exeという名前で、他の場所で別のブランドを装って登場するものと同一のSyspectrインストーラーです。ファイル名に埋め込まれたアカウントIDまで一致しています。
他ブランドを装う同一の手口
avast-premium[.]shopという偽サイトは、ロゴやレビュースコア、そして「Avast One」用の青い「Free download」ボタンまで、Avastの実際のダウンロードページを忠実に模倣しています。その裏にあるファイルはAVAST_App.setup4693fd-d903-4791-8f58-975261c93ca2.exeという名前です。
もう一つの悪質なサイトstremiotv[.]onlineは、正規のメディアセンターアプリであるStremioを模倣しています。このサイトが訪問者にダウンロードを促すファイルの名前はStremio_App.setup4693fd-d903-4791-8f58-975261c93ca2.exeです。
両者ともに、CNNのインストーラーで見つかったものと同一のアカウントIDが埋め込まれています。
信頼されたブランドを装うことで、攻撃者は訪問者に正規のO&O Syspectrリモートアクセスツールをインストールさせ、被害者のコンピューターへのリモートアクセスを手に入れているのです。
別の種類の誘い文句
ただし、すべての誘導手口が信頼されたブランドを必要とするわけではありません。
syncminer[.]xyzは独自の誘い文句を用意しています。暗号資産残高がゆっくりと増えていく様子を見せる「idle miner」型のブラウザゲームで、より高い配当を約束する「Download Miner Plugin」ボタンが表示されます。同一内容のサイトはidleminer[.]proでも運営されており、レイアウト、ゲーム内容、ダウンロード内容まですべて同じです。
両サイトともoo-syspectr-setup9158bf2a-ff25-4290-b96c-2dc5eb310391.exeという名前のファイルをそのまま配布しており、これにはCNN・Avast・Stremioの誘導で確認したものとは異なる、独自のアカウントIDが埋め込まれています。
マルウェアではないため、アンチウイルスソフトが見逃す
これらのファイルはいずれも、正規のドイツ企業であるO&O Software GmbHが提供する、実在するデジタル署名付きソフトウェアです。Syspectrは公然とIT部門向けに販売されており、インストールされた端末に対して操作者にリモートデスクトップ制御と管理者権限のコマンドラインを与えます。
だからこそ、アンチウイルスソフトはこれを止められないことがあります。アンチウイルスは悪意あるソフトウェアを検知するために設計されており、正規に署名されたビジネスツールを、単にその入手経路が不審だからという理由でフラグ立てすることはありません。攻撃者は、すでに自分のアカウントに紐づいている正規のリモート管理ツールを被害者にインストールさせるだけでよいのです。
正体を見破る10秒チェック
Windowsでは、このようなインストーラーを右クリックしてプロパティを選択し、詳細タブを開いてください。ファイルの説明と製品名という2つの項目には、今回調査したすべてのインストーラーがO&O Syspectrであることが表示され、O&O Software GmbHの著作権表示も併記されています。
ファイル名は配布する側が自由に変更できますが、これらの埋め込み情報は署名済みのソフトウェア本体に由来するものです。これを変更するとデジタル署名が無効になってしまうため、これらの項目はインストーラーの正体を正確に示しています。
これらが同一犯行だと分かる理由
すべてのSyspectrインストーラーには、それを生成したアカウントのIDがファイル名に直接埋め込まれています。CNN・Avast・Stremioを装ったファイルはいずれもまったく同一のアカウントIDを持っており、単一のSyspectrアカウントから生成され、誘導先ごとに見た目だけを変えて使い回されていることが分かります。
一方、偽の暗号資産マイニングゲームを通じて配布されたSyspectrインストーラーには異なるアカウントIDが付与されており、同じ手口を使う別の攻撃者が存在するか、あるいは同じグループが別のアカウントを使って活動していることを示唆しています。
Syspectrは、IT管理者がコンピューターをリモート管理できるように設計されたツールです。契約プランに応じて、システム情報の閲覧、実行中のプロセスやサービスの監視、Microsoft Defenderの管理、USBデバイスの制限などが可能です。
有料プランでは、攻撃者にとって最も重要となる機能が追加されます。被害者のコンピューターを遠隔操作し、ファイルを閲覧し、コマンドを実行し、追加のソフトウェアをインストールし、まるで目の前に座っているかのようにシステムに変更を加えることが可能になります。さらに上位のプランでは、大量のデバイスを一括管理するツールが追加されるほか、対応ハードウェアであればWindowsが起動しない状態でもリモートアクセスできる機能まで用意されています。
これらのリモート制御機能は、Syspectrの無料アカウントでは利用できません。Premium以上のサブスクリプションが必要です。
O&O Softwareの対応
O&Oは迅速に対応しました。数日のうちに、同社は無料のSyspectrアカウントに対するリモートデスクトップおよびリモートコンソールへのアクセスを無効化し、両機能を有料プラン限定に制限しました。
O&Oはその後、悪用されていたアカウントを特定して停止し、新しいデバイスの追加もブロックしています。O&Oの分析によると、攻撃者はリモートデスクトップではなく、もっぱらリモートコンソールを利用していたとのことです。同社は今後もこのパターンの監視を続け、必要に応じてさらなる制限強化を行うとしています。
これは的確な対応であり、O&Oは自社ソフトウェアがどのように悪用されているかを明確に把握していると言えます。ベンダーの中には、自社ソフトウェアの悪用に対してここまで迅速かつ効果的に動けないところも少なくありません。
身を守るために
- ソフトウェアは必ずベンダーの公式サイトからダウンロードしてください。検索結果や広告は、精巧な偽サイトに誘導することがあります。
- 不審なインストーラーを実行する前に、Windowsであれば右クリックしてプロパティ>詳細を開き、ファイルの説明と製品名の項目を確認してください。
- O&O Syspectrがインストールされていて、自分で導入した覚えがない場合は、設定>アプリからアンインストールし、アンチウイルスの完全スキャンを実行してください。
- 最近このようなインストーラーを実行してしまった場合は、そのマシンでアクセスしたすべてのアカウントについて、別のクリーンなマシンからパスワードを変更してください。
- オンラインでの閲覧中は自衛を心がけましょう。Malwarebytes Browser Guardは、既知の詐欺サイトや偽サイトへのアクセスを事前にブロックします。
覚えておきたいこと
偽のダウンロードサイトは、必ずしもマルウェアを配布するわけではありません。時には、配布者によって武器化された正規のソフトウェアを送り込んでくることもあります。だからこそ、ソフトウェアは必ず正規のベンダーからダウンロードし、少しでも違和感を覚えたら実行前にそのインストーラーの正体を確認することが重要です。
侵害指標(IOC)
アカウントID 4693fd-d903-4791-8f58-975261c93ca2:
app.cnn-news[.]net→CNN_App.setupad4693fd-d903-4791-8f58-975261c93ca2.exeavast-premium[.]shop→AVAST_App.setup4693fd-d903-4791-8f58-975261c93ca2.exestremiotv[.]online→Stremio_App.setup4693fd-d903-4791-8f58-975261c93ca2.exe
アカウントID 9158bf2a-ff25-4290-b96c-2dc5eb310391:
syncminer[.]xyz→oo-syspectr-setup9158bf2a-ff25-4290-b96c-2dc5eb310391.exeidleminer[.]pro→oo-syspectr-setup9158bf2a-ff25-4290-b96c-2dc5eb310391.exe
脅威が被害を及ぼす前に食い止めましょう。
Malwarebytes Browser Guardはフィッシングサイトや悪意あるサイトを自動的にブロックします。無料で、ワンクリックでインストールできます。ブラウザに追加する →
