Microsoftを名乗る偽のセキュリティスキャンサイトを使い、ユーザーにアンチウイルスソフトを削除させたうえで機密情報を入力させる新たな返金詐欺が確認されました。
SysScanなどの名称を使うこれらのサイトは、アンチウイルスソフトが正常に機能しているかどうかをチェックすると謳っています。しかし実際には、根拠のない不安を煽る警告を表示し、インストール済みのアンチウイルスソフトが深刻な問題を引き起こしていると訪問者に告げます。
これらのページは、Windowsがサードパーティ製アンチウイルス製品をもはやサポートしていないと虚偽の主張を行い、ユーザーに直ちにアンインストールするよう促します。
これは事実ではありません。Microsoftは現在もWindows上でのサードパーティ製アンチウイルスソフトのサポートを継続しています。研究者らは、同一のサーバー上でホストされている詐欺サイトを11件特定しました。
これらのドメインは名称こそ異なるものの、いずれも同じパターンをたどります。偽のスキャンを表示し、深刻な端末上の問題を報告した上で被害者の情報を収集し、詐欺的な返金の電話連絡へと誘導する準備を整えるという流れです。
この詐欺サイトは、OSの詳細情報、画面解像度、デバイスのメモリ容量、プロセッサ数、権限設定、ネットワーク情報、ブラウザの機能など、ブラウザからアクセス可能な情報を収集します。これにより、スキャンが被害者の端末に合わせて実施された正当なものであるかのように見せかけています。
しかし実際には、これらのサイトはマルウェアやファームウェア設定、アンチウイルスの稼働状況、カーネルのセキュリティ機能、未適用のWindowsパッチ、ハードウェアの脆弱性などをコンピューター内部から検査することはできません。
それにもかかわらず、これらのページはブラウザのサンドボックスが侵害されている、メモリがRowhammer攻撃にさらされている、カーネル保護機能が無効化されている、TPM(Trusted Platform Module)が存在しない、あるいはWebRTCがローカルIPアドレスを漏洩させている、といった主張を表示します。
こうした警告の多くはページにハードコーディングされています。未適用のセキュリティ更新プログラムに関するある警告表示では乱数が使用されており、スキャンを実行するたびに報告される未適用パッチの件数が変化する仕組みになっています。
セキュリティスコアについても操作が加えられています。コード上では結果が100点中13点から30点の範囲に制限されており、どのような端末であっても合格点を得ることができないようになっています。
この目的は、被害者に「自分のコンピューターは安全ではない」と信じ込ませ、心理的な圧力をかけることにあります。その後、被害者はアンチウイルスソフトを削除するよう指示され、これにより詐欺の次の段階に進む前に端末の保護が弱められてしまう可能性があります。
偽のスキャンの後、サイトは返金申請フォームを表示し、そこで広範な個人情報や金融情報を収集します。フォームでは、被害者の氏名、住所、電話番号、メールアドレス、銀行名、返金額、暗号資産のユーザー名、使用しているアンチウイルス製品名の入力が求められます。
さらにこのフォームでは、リモートアクセスソフトウェアのIDとパスワードの入力も要求されます。被害者は約30種類のリモートアクセスツールの中から選択できるようになっています。
加えて、エージェントID、エージェント名、会社名の入力欄も設けられており、これは詐欺グループが電話でのやり取りの最中に被害者を誘導・操作しながらこのフォームを記入している可能性を示唆していると、Malwarebytesは述べています。
注記: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無効化表記(例: [.])としています。再度有効な形式に戻す場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/fake-scanner-telegram-heist/
