私たちは、人気のゲームやWindowsソフトウェアを装いながら、訪問者を同一のDownload Studioインストーラーへ誘導するよう設計された41件のウェブサイトからなるネットワークを特定しました。
これらのサイトはCounter-Strike、Half-Life、Fallout、Roblox、PUBG、The WitcherからVLC、7-Zip、Paint.NET、VMware、Total Commander、Foxit PDFに至るまで、あらゆるソフトウェアを宣伝しています。
これらのサイトは説得力を持たせるために驚くほど手が込んでおり、正確な製品情報や本物の開発者向けリソース、さらには本物のダウンロードリンクまで使用しています。
しかし、表示されているリンクと実際にたどるリンクは別物です。
あるサイトはCounter-Strikeを提供すると謳っています。ダウンロードボタンにカーソルを合わせると、ブラウザは本物のSteamストアのアドレスを表示します。ところが、実際にボタンをクリックしてもSteamは開きません。
ホバー時は安全に見えても、クリックすると話は別
ウェブの安全対策として最も古くから言われている助言の一つが、リンクをクリックする前にカーソルを合わせて、ブラウザに表示される遷移先を確認することです。フィッシングリンクや詐欺をメールで確認する際にも、この方法を推奨しています。
しかし、これは絶対確実な方法ではありません。今回のキャンペーンは、ホバー時には正規の遷移先を表示しながら、実際にクリックすると全く別の場所へ送り込むサイトが存在することを示しています。
Counter-Strikeのページでは、ダウンロードボタンに正規のSteamストアのURLが埋め込まれています。カーソルを合わせた際にブラウザが表示するのはこのアドレスです。
しかし、ページ上のJavaScriptがクリック処理を別途扱っています。Steamへのリンクをたどらせる代わりに、スクリプトが本来の遷移をキャンセルし、訪問者をアフィリエイトのリダイレクト経由で別の場所へ送り込みます。
正規のSteam URLは訪問者に安心感を与えますが、それは実際の遷移先ではありません。
このページはさらに、フッターに本物のSteamのリソースへのリンクを掲載し、技術情報を提供する一見普通のサイトとして自らを演出しています。しかし、ダウンロードボタンが押された瞬間、その化けの皮は剥がれます。
41件のサイト、行き着く先は一つ
Counter-Strikeのサイトは孤立した事例ではありません。
私たちが特定した41件のサイト全体で見ると、ブランディングや宣伝されているダウンロード対象は異なるものの、最終的に訪問者が誘導される先は同一のソフトウェア、Download Studioでした。
あるサイト「GTA 6 PLAY」は、Grand Theft Auto VIのPC向けダウンロードを提供すると謳っています。インストール手順、システム要件など、本物のゲームダウンロードページに期待されるあらゆる情報が用意されています。
ただし、ここには一つかなり大きな問題があります。ダウンロード可能なPC版など発表されていないのです。
Rockstarが現在公式に発表しているのはPlayStation 5およびXbox Series X|S向けのGrand Theft Auto VIのみで、発売日は2026年11月19日です。PC版のリリースは発表されていません。
訪問者がダウンロードの手順を進めると、Download Studioをインストールするよう指示する画面が表示されます。以下はCounter-Strikeのサイトで表示されるその画面の例です。
つまり、宣伝されているソフトウェアは撒き餌であり、Download Studioのインストールこそが本当の目的地なのです。
ソフトウェアを装った偽装はさらに巧妙
同じ手口は、一般的なWindowsアプリケーションを宣伝するページにも見られます。
例えば、偽のVLC Media Playerのページは、ダウンロードボタンの中に本物のVideoLANのダウンロードアドレスを配置しています。さらに、ファイルの提供元としてVideoLANのサーバーを正しく明記しています。
私たちの調査時点では、VLC 3.0.23がVideoLANの最新リリースでした。
つまり、訪問者に表示される情報は完全に正確なのです。リンクも本物、バージョンも本物、開発者情報も正しく識別されています。
しかし、そのすべてをクリックハンドラーが上書きします。ブラウザがVideoLANからVLCを取得することを許す代わりに、ページは訪問者をDownload Studionへ送り込みます。
署名の確認という定石すらも欺かれる
この偽のVLCのページは、インストーラーを実行する前にデジタル署名を確認するよう勧めてもいます。
デジタル署名によって、Windowsはソフトウェアの署名者が誰であるか、また署名済みのファイルが署名後に改変されていないかを検証できます。
署名を確認するには、ダウンロードしたファイルを右クリックして「プロパティ」を選択し、「デジタル署名」タブを開きます。署名を選択して「詳細」をクリックすれば、Windowsがその署名を有効と判断しているか、また署名者が誰であるかを確認できます。
通常であれば、これは有効なチェック方法です。しかし、Download Studioのインストーラーはこの検証を通過してしまいます。
私たちが調査したサンプルは、Grand Media, TOVによって有効に署名されていました。つまり、このページの助言に従い、Windowsが署名を有効と判断したのを確認したとしても、本来意図していたものとは全く別のものをダウンロードしてしまう可能性があるということです。
これは、有効な署名がファイルの署名者と、署名済みコンテンツが改変されていないかどうかを示すものにすぎないためです。意図していたプログラムをダウンロードできたかどうかまでは保証しません。
Microsoft自身のAuthenticodeに関するドキュメントでも同様の区別がなされています。コード署名はファイルの発行者と整合性に関する情報を提供するものであり、署名されたソフトウェアが信頼できることを保証するものではありません。
身近なソフトウェアも撒き餌に
今回のキャンペーンは、未発売のゲームを探している人たちだけを標的にしているわけではありません。
VLC、7-Zip、Paint.NET、AIMPは人々が日常的にダウンロードする正規のアプリケーションです。これらを検索する行為自体は、何ら特別なことではありません。
他にも、Avast、Acronis、Recuvaといったセキュリティ・バックアップ・復旧関連の製品を狙った撒き餌も存在します。
日常的なソフトウェア、あるいは自分のコンピューターを保護・復旧するためのソフトウェアを探している人でさえ、望んでもいないプログラムのインストールへと誘導されかねません。
これらのサイトが実際に配信するもの
今回の調査中に配信されたサンプルは、約73MBのDownload Studio用Windowsインストーラーでした。
このファイルはGrand Media, TOVによって署名されており、署名の検証も正常に成功します。私たちの分析では、Download Studioが独自のインターフェースとトレントコンポーネントをインストール・起動することが確認されました。このプログラムはトレントおよびマグネットリンクの関連付けを登録し、インストーラーにはDownload Studioを既定のトレントクライアントに設定するオプションも含まれています。
インストール時には自動アップデート機能も有効化されます。
重要な点として、私たちの分析ではDownload Studio自体がマルウェアであるとは断定できませんでした。しかし今回のキャンペーンが明確に示しているのは、あるソフトウェアを探していた人々が欺瞞的な手口によって別のソフトウェアをインストールするよう誘導されているという事実です。
このリダイレクトにはアフィリエイトのトラッキングが含まれており、商業的な動機が存在する可能性を示唆しています。
Download Studioには過去にも関連する経緯がある
Download Studioの自動アップデート機能が私たちの注意を引いたのには、もう一つ理由があります。
2020年、Avastの研究者たちはDownload Studioの自動アップデート機能が、Malwarebytesのインストーラーを装ったバックドア「FakeMBAM」を密かに配布するために悪用されていたことを発見しています。
Avastは Download Studioのアップデートを監視し、偽のMalwarebytesインストーラーが、ユーザーが意図的にインストールを開始することなくバックグラウンドで密かに、正規のアップデートと同じ方法で配信・実行されているのを確認しました。
このバックドアは追加のマルウェアをダウンロードすることが可能で、Avastが観測した永続的なペイロードは仮想通貨のマイニングツールでした。
研究者たちがDownload Studioの開発者に連絡したところ、開発者側は継続的インテグレーション(CI)サーバーに関わるセキュリティインシデントを検知し、調査の上で追加のセキュリティ対策を講じたと回答しました。Avastによれば、開発者は被害を受けたユーザー数や通知の有無に関するフォローアップの質問には回答しなかったとのことです。
この調査ではまた、この件に関連する企業としてGrand Media, TOVの名前も挙げられていました。今回のキャンペーンで確認したDownload Studioのインストーラーも、同じくGrand Media, TOVによって署名されています。
今回のキャンペーンにおけるDownload Studioのインストーラーが悪意あるものである、あるいは同様の攻撃が再発しているという証拠はありません。しかし、その自動アップデート機構は過去にマルウェア配布に悪用された実績があり、現在のインストーラーが自動アップデートを有効化しているという事実は、無視できない意味を持ちます。
実際にダウンロードしたものを確認する
これらのサイトが仕掛けているすり替えの手口を見破るための、もう一つの簡単な確認方法があります。
ダウンロードした実行ファイルを右クリックし、「プロパティ」を選択して「詳細」タブを開きます。
私たちが調査したサンプルでは、「ファイルの説明」と「製品名」にはDownload Studioと表示され、「元のファイル名」はDS-Setup.exe、著作権情報にはGrand Mediaの名前が記載されていました。
もし「Download VLC」と書かれたボタンをクリックしたにもかかわらず、これらの項目に「Download Studio」と表示されていれば、それは明白で見過ごしようのない食い違いです。
ただし、「詳細」タブの情報だけでは、そのファイルが安全であることの証明にはなりません。この情報はソフトウェアの発行元が自ら設定できるものであるため、悪意あるプログラムであっても、もっともらしい製品名や説明を名乗ることは可能です。
そうではなく、ダウンロード全体を見渡すことが重要です。開発元や信頼できるストアから入手したものか。想定していた発行元によって署名されているか。そして、そのファイルは自分がダウンロードしようとしていたプログラムであると正しく名乗っているか、といった点を確認してください。
身を守るために
このようなダウンロードのすり替え手口に引っかからないための、簡単な対策をいくつか紹介します。
- ソフトウェアは必ず開発元の公式サイトか、信頼できるアプリストアから直接入手する。ゲームであれば、Steamのような正規のストアや発行元自身のストアを利用する。
- リンクへのホバーだけに頼らない。今回のキャンペーンが示す通り、ページは正規の遷移先を表示しつつ、クリックすると別の場所へ送り込むことがある。
- 有効なデジタル署名があるからといって、正しいプログラムを入手できたとは限らない。「プロパティ」→「詳細」を確認し、製品名が意図していたものと一致するかを確かめる。
- ダウンロードページが、まず別のダウンロードマネージャーのインストールを要求してきた場合は、そのページを閉じる。
- あるゲームが自分のプラットフォーム向けにまだリリースされていないのであれば、公式ダウンロードを提供すると謳うサイトがそれを持っているはずがない。
- Download Studioが既にインストールされており、自分でそれを選んだ覚えがない場合は、「設定」→「アプリ」から削除し、フルウイルススキャンを実行する。
- Malwarebytes Browser Guardは、こうしたページが読み込まれる前にブロックするため、何かをダウンロードしてしまう前に問題を防ぐことができる。
侵害指標(IOC)
ファイルハッシュ(SHA-256)
9a3f6e69c12cb814c45862219ecb17e9ab7744877c9da1c49f3ea046437f8fca (DS-Setup.exe)
ネットワーク指標
r.byteengineering[.]net
apis.downloadstud[.]io
downloadstudio[.]net
dstudio[.]app
getdownloadstudio[.]net
4kvideodownloader[.]ru
acronisportal[.]ru
cristalixmine[.]ru,
crystaldisk24[.]ru
csgodownload[.]ru
cupheadplay[.]ru
fallout24[.]ru
farcryplay[.]ru
faststoneportal[.]ru
formatf[.]ru
foxitpdf[.]ru
get7zip[.]ru
getaf[.]ru
getaimp[.]ru
getavast[.]ru
getbandicam[.]ru
getbluestacks[.]ru
getmovavi[.]ru
getrecuva[.]ru
getultraiso[.]ru
getvmware[.]ru
getvuescan[.]ru
gogetter24[.]ru
gta6-play[.]ru
halflife-play[.]ru
memuemulator[.]ru
paintdotnet[.]ru
pdfxchange[.]ru
poppyplaytimeplay[.]ru
pubgplay[.]ru
rdrplay[.]ru
regorganize[.]ru
roblox-play[.]ru
rust-play[.]ru
tcommander[.]ru
tf2play[.]ru
thewitcherplay[.]ru
uninstalltooll[.]ru
vlcmp[.]ru
windowsmp[.]ru
yandereplay[.]ru
脅威が被害をもたらす前に食い止めましょう。
Malwarebytes Browser Guardは、フィッシングページや悪意あるサイトを自動的にブロックします。無料で、ワンクリックでインストールできます。ブラウザに追加する →
アンチウイルスソリューションに情熱を注ぐStefanは、幼い頃からマルウェアのテストやAV製品の品質保証(QA)に携わってきました。Malwarebytesチームの一員として、Stefanは顧客の保護とセキュリティの確保に尽力しています。
