Google Geminiのインストーラーになりすました悪意ある実行ファイルが、EMEA地域のある企業ネットワーク内でVidarインフォスティーラーを送り込む目的で使われていたことが、この事案を調査したDarktraceの研究者らにより明らかになりました。
「初期分析の段階で、不審なファイル名に関連する検索結果の上位に、Google Colabでホストされているファイルが表示されていることが確認されました。Google Colabは、開発者や研究者、データサイエンティストがWebブラウザ経由でコードや機械学習ワークロードを実行する際によく使われる、クラウドベースのJupyterノートブック環境です」とDarktraceは記しています。
「攻撃者は、もう一つの信頼されたGoogleプラットフォームを悪用することで、ユーザーがそのダウンロードを正規のものと認識する可能性を高めました。これにより、Gemini関連ソフトウェアを探していたユーザーにとって、この餌はより説得力のあるものになっていました」と研究者らは付け加えています。
偽のGoogle Geminiインストーラーのダウンロードを促す表示が含まれるGoogle Colabのページ(出典: Darktrace)
このページからは、「Windows Software Hub」を装う別のサイトへとリダイレクトされ、そこにはDownload_Google_Gemini_For_Windows.exeというファイルがダウンロード待ちの状態で置かれていました。
Darktraceは、悪意あるファイルが実行される直前にGoogle ColabへのSSL接続が発生していたことを確認しています。このタイミングから、ユーザーはダウンロード元のサイトへリダイレクトされる前に、まずColabのページにアクセスしていたことがうかがえます。
Vidarインフォスティーラー、ブラウザの認証情報を標的に
このキャンペーンを通じて配布されたZIPアーカイブには、実行ファイルを管理者権限で実行し、アンチウイルスの除外リストに追加するよう指示するREADMEファイルが含まれていたとみられます。
研究者らはこのマルウェアを、Telegramベースのインフラと通信する、より新しいGoコンパイル版のVidar亜種であると特定しました。このマルウェアは、コマンド・アンド・コントロール(C2)のエンドポイントとしてdtm[.]kijangturbo88[.]topを使用していました。
「マルウェア自体は目新しいものではありませんでしたが、その誘導手法と配布の仕組みは新しいものでした」と研究者らは指摘しています。
その後、顧客のエンドポイント保護システムとの連携を通じて別の検知が行われ、すでにネットワーク上の活動から示唆されていた内容が裏付けられました。この活動は、感染した端末からブラウザの認証情報やその他の機密データを窃取するものと一致していました。
検知後、Darktraceの自律対応システム(Autonomous Response)が悪意あるインフラとの通信を遮断し、感染した端末を隔離しました。このキャンペーンは信頼されたプラットフォームを悪用し、一見ありふれたソフトウェアのダウンロードを装っていたにもかかわらず、端末の挙動が通常のパターンから逸脱したことにより攻撃を検知することができました。
「企業環境全体でAIの導入が加速し続ける中、組織は偽アプリケーション、悪意あるWebサイト、操作された検索結果、信頼されたプラットフォームの悪用、そしてAIをテーマにしたソーシャルエンジニアリングなど、この関心の高まりを悪用するキャンペーンに対して警戒を怠らないようにする必要があります」と研究者らは結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/08/20/fake-google-gemini-installer-vidar-infostealer/
