アンチウイルスが正常に動作しているかどうかをチェックすると謳うWebサイトが、次々と現れています。これらは自らをSysScanと名乗り、Microsoftのブランドを装い、いずれも同じ結論に到達します。「あなたのコンピューターには深刻な問題があり、その原因はインストールされているアンチウイルスソフトです」というものです。
これらのサイトは、Windowsはもはやサードパーティ製アンチウイルスをサポートしていないと主張し、直ちにアンインストールするよう促します。
これは事実ではありません。そしてこれは、被害者に電話をかけさせ、セキュリティソフトを削除させ、最終的には個人情報、銀行情報、リモートアクセス情報を渡させることを目的とした返金詐欺の第一段階に過ぎません。
私たちは、単一のホスト上でこうしたサイトを11件確認しました。名称はさまざまですが、いずれのサイトも基本的な仕組みは同じです。もっともらしく見える偽のセキュリティスキャンを実行し、被害者にアンチウイルスが問題の原因だと告げ、個人情報を収集した上で、いわゆる返金の電話に向けて準備を整えるという流れです。
このようなスキャンを見かけた場合に知っておくべきこと
Webサイトが本物のセキュリティスキャンを実行することはできません。取得できるのは、OSやスクリーンサイズ、おおよその位置情報といったブラウザの基本的なデータだけであり、マルウェアやメモリの問題、未適用のセキュリティパッチなどをチェックすることはできません。
Microsoftは現在もサードパーティ製アンチウイルスソフトをサポートしていますし、正規の返金手続きでセキュリティツールのアンインストールやリモートアクセスソフトのインストールを求められることは決してありません。
もしサイトがそうした行為を要求してきた場合は、直ちにページを閉じてください。
技術的な分析
スキャンは実データを読み取り、架空の結論を導き出す
この詐欺を巧妙に見せている要因の一つは、ページが実際にいくつかのデータを計測している点にあります。
ブラウザが正当に公開している情報――ユーザーエージェント、画面サイズ、デバイスメモリ、プロセッサ数、権限の状態、ネットワーク情報、利用可能なWeb機能、そして一部のページパフォーマンスのタイミングなど――を読み取っています。これにより、結果があたかも自分のマシンに特化したものであるかのように見せかけているのです。
しかし、セキュリティ上の結論はこれらの計測結果とは何の関係もありません。
50件の検出結果はページに書き込まれた固定テキストであり、開発者自身が偽のチェックだとラベル付けしたブロックにまとめられています。
その中には、ブラウザのサンドボックスが侵害されている、カーネルページテーブル分離が無効になっている、メモリがRowhammerに対して脆弱である、TPM(Trusted Platform Module)が見つからない、WebRTCがローカルIPアドレスを漏洩させている、プロセッサがサーマルスロットリングを起こしている、といった主張が含まれています。
Webページがこうした事柄を判定できるはずはありません。
ある検出項目に至っては、セキュリティパッチが何日遅れているかを、チェックが実行されるたびに生成されるランダムな数値を使って報告しています。スキャンを再実行すれば、異なる答えが返ってきます。
本物の情報を使ったチェック項目でさえ、警告に歪曲されています。暗号化された通信は「ダウングレードのリスク」とされ、Cookieが有効になっていれば警告、無効になっていれば失敗と判定されます。最新のブラウザに搭載されているごく普通の機能も、あなたを特定するための手段として扱われています。
私たちが使用した最新の状態に更新済みのテストブラウザでさえ、「古い可能性がある」と報告されました。
何より顕著なのは、スコアがコード上で13点から30点(100点満点中)の範囲に強制的に制限されているという点です。テスト対象のコンピューターがどのような状態であっても、30点を超える結果が出ることはありません。
つまり、「合格」という結果はそもそも存在し得ないのです。
この詐欺がアンチウイルスのアンインストールを求める理由
アンチウイルスを削除させることは、このページが行う中で最も重大な行為であり、詐欺グループにとって二つの意味を持ちます。
第一に、この後に控えているリモートアクセスソフトやセッション中にインストールされるあらゆるものを妨害しかねないソフトウェアを、事前に排除できます。
第二に、被害者がどのセキュリティ製品を使用しているかを詐欺グループに把握させることができます。
このサイトは、名指しされた28種類の製品リスト(および「その他」の選択肢)の中から、どのアンチウイルスが削除されたかを記録します。リストには企業向けセキュリティソフトも含まれており、この詐欺が職場のコンピューターを使う人々も標的として想定していることがうかがえます。
この主張がより信憑性を帯びるのは、事実の一部を歪めているためです。実際、Windowsには自前のアンチウイルス保護機能であるMicrosoft Defenderアンチウイルスが搭載されています。互換性のあるサードパーティ製アンチウイルス製品がインストールされている場合、その製品が保護を提供するためDefenderは非アクティブな状態に切り替わることがあります。
しかしこれは、Windowsがサードパーティ製アンチウイルスのサポートを打ち切ったことを意味するものではありません。
このフォームは被害者ではなく詐欺グループのために作られているように見える
スキャンの後、サイトは顧客情報フォームを提示します。
フォームでは、氏名、住所、電話番号、メールアドレス、返金額とその理由、銀行名、暗号資産のユーザー名、使用しているアンチウイルス製品、さらにリモートアクセスセッションのIDとパスワードが収集されます。ユーザーは30種類のリモートアクセスツールから選択できるようになっています。
また、エージェントID、エージェント名、会社名の入力も必須とされています。
これらの項目は、このフォームが通話中にオペレーターによって入力される――しかもオペレーターが被害者の画面を見ながら入力する可能性がある――ように設計されていることを強く示唆しています。コード自体は誰が情報を入力しているかを証明するものではありませんが、顧客専用のフォームにエージェントの情報が含まれる理由はほとんどありません。
ある項目に至っては、アダルトコンテンツが関係しているかどうかを尋ねるものまであります。羞恥心や恥辱感は詐欺グループにとって強力な武器になり得ます。被害者がパートナーや家族、銀行に事態を相談しにくくなるためです。
フォームが送信されると、ブラウザは顧客情報、エージェント情報、リモートアクセス情報、アンチウイルス情報、銀行情報を一つのメッセージにまとめ、TelegramのボットAPIに直接送信します。
アプリケーションのバックエンドは一切介在していません。これにより、これらのサイトは低コストで運営でき、注目を集めた際にも容易に放棄できるようになっています。
これはもう一つの嘘も露呈させています。このサイトは複数箇所で「データは送信されておらず、何も収集していない」と明言しています。しかし実際には、フォームが送信される前の段階で、外部のIP・位置情報サービスに接続しています。そしてフォームが送信されると、入力された情報はTelegramのグループチャットへ送られます。
その後に待つ「返金の電話」
フォームを送信すると、被害者は「返金担当マネージャーが3分から5分以内に電話をかけてくる」と告げるページに誘導されます。
このページではオフィスにいる男性の映像がループ再生され、被害者は一時停止や全画面表示への切り替え、右クリックメニューを開くことができないようになっています。
TRANSCRIPT
==========
Thank you for completing the form.
Your request has been successfully received and is now being reviewed.
A refund manager will be contacting you shortly to verify your information and assist with the next steps.
Please remain available to answer your phone.
We appreciate your patience.
Please keep your phone nearby and be prepared to answer the call so we can process your request as quickly as possible.
Thank you for choosing our services.
この演出の目的は、連絡の手配が整うまで被害者をページに留まらせ、正規の手続きが進行中であると安心させることにあるとみられます。
実際に電話をかけてくるのが別の詐欺グループなのかどうかはコードからは判断できませんが、この構造は明確な「引き継ぎポイント」を作り出しています。
銀行情報について尋ねられる段階に至るまでに、被害者はすでにMicrosoftブランドを装ったセキュリティスキャンを目にし、コンピューターに深刻な問題があると告げられ、アンチウイルスを削除させられ、公式の返金手続きに見える仕組みに個人情報を入力してしまっているのです。
サイトにはAI生成コードの痕跡が見られる
待機ページの動画は合成されたものであり、そのクリップはフレーム内でズーム・トリミングが加えられています。
コードの内容もこれと似た方向性を示しています。AIコーディングツールがよく生成する、説明的で自己解説的なスタイルのコメントが随所に付されており、その中にはスキャンをあえてゆっくり進行させる理由や、読み上げられるセリフが素っ気ないセキュリティコンソール調になっている理由を説明するものも含まれています。
コメントの中には、欺瞞行為を直接的に記したものもあります。架空の検出結果8ブロックには「偽物」というラベルが付けられており、本物の値を読み取る約20件のチェックについても「誇張されている」と記されています。
あるコメントはファイルの冒頭付近で「デバイスから外部にデータが送信されることはない」とまで述べていますが、その数百行後には、フォームの内容をTelegramに送信する関数が存在しています。
ソースコード自体は、それがどのように作成されたかを証明するものではありません。しかし、米国の銀行リストやエージェント識別子、アダルトコンテンツに関する項目といった詐欺特有の要素は、より汎用的なスキャナーのテンプレートに後から組み込まれたもののように見受けられます。
偽のコンピューターセキュリティスキャンを見抜く方法
この種の詐欺を見破るための、いくつかの警告サインを紹介します。
- Webサイトがコンピューターの深刻な問題を発見したと主張する。 Webページはブラウザが提供する一部の情報を取得できますが、ファームウェア設定やアンチウイルスの状態、メモリの脆弱性、正確なWindowsパッチレベルなどを検査することはできません。
- すべての結果が「不良」判定になる。 合格という結果を出せない診断は、実質的に何も診断していないのと同じです。
- アンチウイルスのアンインストールを求められる。 Microsoftは現在もWindows上でサードパーティ製セキュリティソフトをサポートしています。
- リモートアクセスソフトのインストールを求められる。 正規の返金手続きで、誰かにコンピューターの制御を許可する必要はありません。
- 銀行情報や暗号資産関連の情報を求められる。 正規の企業が返金処理のためにリモートアクセスや暗号資産を必要とすることはありません。
- おなじみのロゴに頼っている。 WebサイトにMicrosoftやAppleのロゴが表示されているからといって、その企業がサイトを運営しているとは限りません。これらのサイトは、検出したOSに応じてブランド表示を切り替えることができます。
もしすでに被害に遭っていたら
リモートアクセスソフトをインストールしてしまった場合や、誰かにコンピューターの制御を許してしまった場合は、直ちにインターネットからコンピューターを切断し、リモートアクセスツールを削除してください。
アンインストールを指示されたアンチウイルスソフトを再インストールして最新の状態に更新し、フルスキャンを実行してください。
詐欺グループに銀行情報を渡してしまった場合や、オンラインバンキングへのアクセスを許してしまった場合は、自分で調べた電話番号を使って直ちに銀行に連絡してください。そして、返金詐欺の標的になった可能性があることを伝えてください。
別の信頼できるデバイスから、メールと銀行のパスワードを変更してください。
金銭的な被害が発生した場合は、連邦取引委員会(FTC)のreportfraud.ftc.gov、およびFBIのインターネット犯罪苦情センター(IC3)の ic3.govに被害を報告してください。
そして、恥ずかしさから銀行や信頼できる人に事態を打ち明けることをためらわないでください。そうした羞恥心を生み出すこと自体が詐欺の一部であり、被害者が助けを求めにくくなるよう仕向けているのです。迅速に行動することが、被害を最小限に抑える最善の方法です。
侵害指標(IOC)
ホスティング: 157.230.180.90
ドメイン:
detectsysscanner[.]atdetectsysscanner[.]comdetectsysscanner[.]dedetectsysscanner[.]in[.]netdetectsysscanner[.]xn--q9jyb4cdetsysscanner[.]comdetsysscanner[.]dedetsysscanner[.]xn--q9jyb4ctechsysscanner[.]comtechsysscanner[.]loltlcscanner[.]com
アンチウイルスソリューションに情熱を注ぐStefanは、幼い頃からマルウェアのテストやアンチウイルス製品の品質保証に携わってきました。Malwarebytesチームの一員として、Stefanは顧客の保護とセキュリティの確保に日々尽力しています。
