偽装されたCCleanerダウンロードサイトが、多段階のマルウェアを拡散しています。このマルウェアはChromeを乗っ取り、キーストロークやスクリーンショットを記録しながら、認証情報やCookie、認証トークンを窃取します。
広く利用されているユーティリティソフト「CCleaner」の巧妙な偽バージョンが、多段階のWindowsマルウェアを配布するために使われています。このマルウェアは最終的にGoogle Chromeを悪用し、認証情報の窃取や監視活動を行います。
Malwarebytesの研究者たちは、この攻撃キャンペーンが「GhostDesk」と呼ばれる悪意あるChrome拡張機能を配布していることを突き止めました。この拡張機能は認証情報やCookie、キーストローク、スクリーンショットを取得できるほか、攻撃者が現在開いているブラウザタブに任意のJavaScriptを注入することも可能にします。
攻撃者はCCleanerの公式サイトそっくりの偽ダウンロードサイトを作成し、そこから悪意ある「CCleaner.exe」を配布していたと、研究者のSav Wheeler氏はブログの投稿で述べています。
研究者たちはGhostDeskに加え、同じ手口と同じC2(コマンド&コントロール)インフラを使う偽の7-ZipおよびAdobe Acrobatアプリケーションも確認しています。
CCleanerは世界中で20億回以上ダウンロードされている、人気のWindows PCクリーナーユーティリティです。Wheeler氏によれば、「(偽の)実行ファイルは最初に正規のCScriptインスタンスをドロップし、それを使って一連の(悪意ある)スクリプトを起動する」とのことです。
多段階のペイロードを持つ偽クリーナー
この攻撃は、被害者がなりすましサイト「ccleanerwind[.]top」から偽のCCleaner実行ファイルをダウンロードすることから始まります。Malwarebytesの調査では、サイト上の通常のダウンロードボタンと「Cleaner Pro」ボタンのどちらをクリックしても、同じ悪意あるファイルが配布されることが判明しました。
実行されると、「cscript.exe」がマシンのGUIDやホスト名、対応言語の収集といった基本的なシステム偵察を行う一連のスクリプトを起動します。続いて、ユーザーのAppDataディレクトリにある「runtimebroker.dll」をリフレクシブローダーに置き換え、Chromeのセキュリティ拡張機能マニフェストを改変します。
この改変により、攻撃者は「background.js」と「content.js」という2つのJavaScriptファイルを注入できるようになります。これらはChrome起動時に悪意ある拡張機能として動作し、Malwarebytesはこの結果生じるマルウェアを「GhostDesk」として追跡しています。
content.jsはキーストロークの記録や、送信フォームから認証情報・認証トークン・金融情報を探索する動作が確認されています。一方background.jsは、Cookieの窃取やスクリーンショットの取得、任意のJavaScript実行を担っています。
content.jsはさらに、クリップボードの活動を監視し、被害者が仮想通貨アドレスをウェブサイトに貼り付けた際にそれを別のアドレスにすり替える機能も持つことがわかりました。
background.jsはWebSocketリレーを通じて通信を行うことで永続性を確保しており、Chrome起動時にその接続を再確立できると、Wheeler氏は指摘しています。
GhostDeskにとどまらない、より大きなキャンペーン
この攻撃キャンペーンの影響は、CCleanerを検索していたユーザーだけにとどまらないことが判明しました。Malwarebytesは、同じCScriptローディングの仕組みを使う偽の7-ZipおよびAdobe Acrobatのサンプルを発見しており、これらのサンプルは同一のC2「liderongrade.duckdns[.]org」と通信していました。
唯一確認された違いは、一部のAdobeサンプルがcscript.exeの代わりに「wscript.exe」を使用していた点であり、これはおそらく攻撃者がソフトウェアごとに配布方法を調整しようとした結果だろうと、Wheeler氏は指摘しています。
ブラウザのCookie、認証情報、キーストローク、画面キャプチャが組み合わさることで、この侵害は企業にとって深刻な懸念事項となり、対策を講じる価値のあるものになっています。窃取された認証トークンや金融情報は、さらなるリスクを加えることになります。
Malwarebytesは、ソフトウェアをダウンロードする前にウェブアドレスを注意深く確認するよう推奨しており、スポンサー付き検索結果がサイバー犯罪者に悪用され得る点にも言及しています。また、ソーシャルメディアやSMS、メールで共有されたソフトウェアのダウンロードリンクには注意を払い、公式サイトやアプリストアなど信頼できる提供元と照合してダウンロード内容を検証するよう勧めています。
同社はまた、ウェブ保護機能を備えた最新のリアルタイム型アンチマルウェアソリューションの利用も推奨しています。Malwarebytes製品は、偽のCCleanerランディングページのような安全でないサイトへの接続をブロックし、偽のインストーラーを「Trojan.Dropper」として検知するとしています。
オペレーティングシステムやブラウザ、セキュリティソフトウェアを常に最新の状態に保つことも、依然として欠かせません。
