このキャンペーンは以前、マルウェア・アズ・ア・サービス(MaaS)方式の攻撃で116,000人以上のゲーマーに感染していました。McAfeeによる以前の調査でこのキャンペーンの指令サーバー(C2)インフラは一度破壊されましたが、攻撃者は依然として悪質なウェブサイトやダウンロードファイルを使ってWeedHackのペイロードを配布し続けています。
McAfee WebAdvisorは、過去1か月間でWeedHackに関連するサイトへのアクセス試行を6,300件以上ブロックしました。
この動きは、脅威アクターが配布チャネルを迅速に再構築できる場合、マルウェアのインフラを停止させただけではキャンペーンを必ずしも阻止できないことを示しています。
研究者らは、有名なMinecraftクライアントやMod、コミュニティプロジェクトになりすました複数の類似サイトを発見しました。
これらのサイトは正規のブランディング、機能一覧、FAQ、インストール手順、スクリーンショット、開発者クレジット、そして本物のGitHubリポジトリへのリンクまでをコピーしていました。
狙いは、感染したダウンロードファイルを信頼できるものに見せかけることです。多くのケースでは、偽サイト上のすべてのダウンロードボタンが、WeedHackに感染したJARファイルやアーカイブを配信していました。
確認された事例には、Glazed Client、Radium Client、SeedCrackerX、Xenon Client、Nova Client、Meteor Client、22qq-clientなどになりすましたドメインが含まれていました。
悪質なサイトの中には、有料のMinecraftツールを無料と称して提供したり、プレミアムクライアントのクラック版を宣伝したりするものもありました。
特に注目すべき事例として、McAfeeの研究者は「Xenon Client」というキーワードでのGoogle検索結果の上位2件が、いずれもWeedHackの配布サイトにつながっていたことを発見しました。
これは、SEOポイズニングによって、正規のソフトウェアを探しているゲーマーの目の前に悪質なダウンロードファイルを直接提示できてしまうことを浮き彫りにしています。
攻撃者はまた、正規のプラットフォームを悪用してペイロードをホスト・配布していました。特定された悪質なURLのうち、約半数がDiscordのリンクで、全体の49.6%を占めていました。
MediaFireのリンクが23.4%、続いてGitHubのリンクが8.2%、Dropboxが4.6%となっています。偽のKrypton Clientサイトの1つは、AIを活用したウェブサイト構築プラットフォームであるLovableを通じてホストされていました。
この発見は、AI駆動の開発ツールによって、プロフェッショナルに見える悪質なウェブサイトを作成する手間が大幅に軽減されうることを示しています。
WeedHackキャンペーンは、Mod、チート、最適化ツール、クライアント、そして有料ゲーミングツールの無料版を検索するユーザーを標的にしています。
攻撃者は、Minecraftのmod文化の人気と、一部のコミュニティプロジェクトに公式サイトが存在しないという実情を悪用しています。
ゲーマーは、クライアントやModを公式の開発者ページ、または信頼できるModリポジトリからのみダウンロードするべきです。ドメイン名にハイフンが追加されていたり、余分な文字が入っていたりするといったわずかな違いは、なりすましサイトである可能性を示しています。
また、クラック版ソフトウェアや「無料プレミアム」といった謳い文句にも注意が必要です。これらはマルウェアの典型的な誘い文句です。ダウンロードの際にアンチウイルスツールの無効化を求められた場合は、極めて不審なものとして扱うべきだとMcAfeeは述べています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にディフェング処理(例: [.])を施しています。再度有効化する際は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス環境内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/weedhack-poisons-minecraft-searches/
