Microsoftを騙る詐欺、偽のセキュリティスキャンで返金詐欺に誘導

Microsoftを装った複数の不正サイト群が、偽の「セキュリティスキャン」を使って被害者にプレッシャーをかけ、アンチウイルス製品のアンインストール、個人情報や銀行情報の開示、そしてパソコンへのリモートアクセス許可を迫っていることが分かりました。

これらのサイトはSysScanというブランド名を名乗り、アンチウイルス製品が正常に機能しているかどうかを診断すると謳っています。しかし結論はあらかじめ決められており、Windowsがサードパーティ製アンチウイルスソフトウェアをもはやサポートしていないという理由で、被害者のパソコンが危険にさらされていると主張します。

この主張は事実ではありません。Microsoft Defender Antivirusは、Microsoft製以外のセキュリティ製品と共存できるよう設計されており、設定によってはサードパーティ製アンチウイルスが登録され主要な保護機能として動作している間、Defenderがパッシブモードや無効状態に移行することがあります。

研究者らは、単一のサーバー上でホストされている11個のSysScanをテーマとしたドメインを特定しました。

ブランド名や表記は異なるものの、その手口は一貫しています。もっともらしいスキャン画面を表示し、実際には存在しない深刻なセキュリティ上の問題を報告し、訪問者にアンチウイルスの無効化を指示し、「返金」に必要な情報を収集した上で、電話によるソーシャルエンジニアリング攻撃へと標的を誘導するという流れです。

この不正なスキャナーは、ユーザーエージェント文字列、画面解像度、デバイスのメモリ量、プロセッサ数、各種権限、ネットワーク情報、利用可能なブラウザ機能、ページのパフォーマンス指標といった、ブラウザからアクセス可能な情報を収集します。

しかし、そのセキュリティ判定はこれらの値から導き出されているわけではありません。報道によれば、コード内には開発者が「fake checks(偽のチェック)」とラベル付けした静的な判定項目が50個含まれているとされています。

ブラウザは本来、こうしたシステムレベルの制御機構を確実に検査したり、アンチウイルスの稼働状況を判断したり、ファームウェアの設定を特定したり、Windowsのパッチ適用状況を確認したり、メモリハードウェアの脆弱性を検出したりすることはできません。

パッチ適用の遅延を示すとされる結果の一つは乱数から生成されており、スキャンを繰り返すたびに異なる答えが出力されます。

採点ロジックもこの欺瞞を裏付けています。表示されるスコアは100点満点中13点から30点の範囲に固定されており、構造的に合格点を得ることは不可能になっています。

Microsoft返金詐欺

通常のブラウザの動作すら、リスクとして描き直されます。Cookieが有効になっていれば警告の対象となり、Cookieが無効になっていれば失敗と判定され、暗号化された通信は「ダウングレードによる露出」と説明されます。

ブラウザサンドボックスが侵害されている、カーネルページテーブル分離が無効になっている、TPMハードウェアが存在しない、Rowhammerに対して脆弱である、WebRTCによりローカルIPが漏洩している、CPUがサーマルスロットリングを起こしているといった主張も行われます。

アンチウイルスソフトウェアをアンインストールさせる指示は、このキャンペーンの中で最も危険なステップです。詐欺師がリモート管理ツールやその他のペイロードを展開しようとする前に、エンドポイントの防御を弱体化させることができるためです。また、これにより被害者のデバイスを保護している製品を特定することも可能になります。

報道によれば、このフォームでは運営者がエンタープライズ向けセキュリティツールを含む28種類のアンチウイルス製品に加え、「その他」という選択肢から選べるようになっているとされています。

この点から、この攻撃は家庭用システムだけでなく、法人利用者や職場のデバイスにも対応する準備が整っている可能性がうかがえます。

Malwarebytesの研究者らによると、この詐欺はWindowsの実際の挙動を悪用しています。互換性のあるサードパーティ製アンチウイルス製品がインストールされ登録されている場合、Microsoft Defender Antivirusは競合を避けるために動作を控えることがあります。

これは、Windowsがサードパーティ製セキュリティ製品のサポートを打ち切ったことを意味するものではありません。

捏造されたスキャン結果を表示した後、これらのサイトは氏名、住所、電話番号、メールアドレス、返金額とその理由、銀行名、暗号資産のユーザー名、インストール済みのアンチウイルス製品、リモートアクセスのセッション認証情報を要求します。報道によれば、被害者は30種類のリモートアクセスツールの中から選ぶことができるとされています。

さらに、このフォームには「Agent ID」「Agent Name」「Company」といった項目も設けられており、これは消費者向けの返金手続きとしては異例な設計です。

これらの項目は、このページが被害者を手順に沿って誘導したり、その画面を監視したりするコールセンターのオペレーターを想定して作られている可能性を示しています。

送信されたデータは1つのメッセージにまとめられ、そのままTelegramのボットAPIを通じて直接送信されるため、従来型のバックエンドを用意する必要がありません。

この手法により、インフラの運用コストは低く抑えられ、ドメインが通報されたりブロックされたりしてもすぐに使い捨てにできるようになっています。

報道によれば、これらのページは外部のIP・位置情報サービスと通信し、送信されたフォームデータを外部に送出しているにもかかわらず、データは一切収集していないと主張しているとされています。

リモートアクセスソフトウェアがインストールされてしまった場合や、詐欺師にデバイスを操作された場合は、インターネットから切断し、リモートアクセスツールを削除し、信頼できるアンチウイルスでスキャンを実行し、別のクリーンなデバイスからパスワードを変更した上で、銀行や決済サービス事業者に連絡してください。

その後表示される待機画面では、「返金担当者」が3分から5分以内に電話をかけてくると約束されており、これが詐欺の次の段階への引き継ぎポイントとなっています。

ユーザーは、ブラウザ内から詳細なセキュリティ診断を行うと主張するウェブページを見つけたら、直ちに閉じるべきです。

正規の返金手続きにおいて、アンチウイルスの削除、リモートアクセス、暗号資産情報、銀行の認証情報が要求されることはありません。

FTC(米連邦取引委員会)は、正規の返金業者がパソコンへのリモートアクセスを要求したり、返金の発行に対して支払いを要求したりすることは決してないと警告しています。

侵害指標(IOC)

注: 誤ってアクセスやハイパーリンク化されるのを防ぐため、IPアドレスとドメインは意図的に無効化表記(例: [.])にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理されている脅威インテリジェンス基盤内でのみ行ってください。

★ どのセキュリティツールを削減すべきか?1ページでスコア化 – 「Inherited Security Stack Guide」をダウンロード