サイバー犯罪者たちが『グランド・セフト・オートVI』への関心の高まりを悪用し、偽のRockstar Gamesサイトを通じてVidar情報窃取マルウェアを配布しています。
これらのサイトは存在しないGTA 6のデモを宣伝し、説得力のある「Play Now」ボタンでgta6_installer.exeという名前の悪質なファイルを配布しています。
このキャンペーンは、GTA 6の映像やマップがリークされ、ネット上で出回り始めた直後に出現しました。攻撃者たちは、非公式のゲームビルドやリーク動画、早期アクセスの提供に対する関心の高まりを利用し、ネットで検索する被害者を誘い込んでいます。
Rockstarは、GTA 6のデモ版、ベータ版、ダウンロード可能なPC版ビルド、早期アクセス用インストーラーのいずれも公開していません。
同作は2026年11月19日にPlayStation 5およびXbox Series X|S向けに発売予定です。8月27日に予定されている「Extended Look」は動画によるプレゼンテーションであり、プレイ可能なダウンロード版ではありません。
偽サイトはRockstarのアートワークと正規のExtended Lookプロモーションをそのまま模倣しています。しかし、そのダウンロードボタンから配布されるのは1.1MBの実行ファイルです。このファイルサイズだけでも警戒すべき点であり、現代のAAAゲームがこれほど小さいファイルに収まるはずがありません。
ダウンロードされる実行ファイルの正体はVidarで、サイバー犯罪者が感染したWindowsデバイスから貴重なデータを収集するために使用するマルウェア・アズ・ア・サービス型の情報窃取マルウェアです。
Vidarは、Google Chrome、Microsoft Edge、Mozilla Firefox、Brave、Opera、Vivaldiを含む19種類のブラウザにわたってプロファイルデータを探索していました。
また、Vidarはサンダーバードのプロファイル、Perplexity社のCometブラウザ、そしてRoblox Studio内で使用されるWebView2のデータも調査対象としていました。
このマルウェアは目に見えるウィンドウを表示せず、明確なインストール過程も示しませんでした。また、スケジュールタスクやスタートアップ登録、サービスといった永続化の仕組みも確認されませんでした。
だからといってリスクが低いわけではありません。情報窃取マルウェアはデータを収集して攻撃者に送信するのに、わずかな時間さえあれば事足ります。盗まれたパスワードやブラウザセッションが端末から流出してしまえば、脅威アクターはマルウェアが駆除された後でもアカウントへのアクセスを試みることができます。
分析の過程で、このマルウェアはChrome、Edge、Firefoxをヘッドレスモードで起動していました。ログ記録を無効化し、一時的なユーザーデータディレクトリを使用していました。
偽のブラウザを展開したり暗号化を直接破ったりするのではなく、Vidarは正規のブラウザ実行ファイルを利用しました。これらのブラウザは、もともと自身が保護する情報へのアクセス権限を持っているためです。
データを収集した後、マルウェアは一時的なブラウザフォルダを削除しました。この手口が示しているのは、ブラウザの暗号化自体は依然として有効であるものの、信頼できない実行ファイルを実行してしまうユーザーを守ることはできないという点だと、Malwarebytesは述べています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化（例: [.]）してあります。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/vidar-bypasses-browser-encryption/
