サイバーセキュリティ企業のHuntressは、『Grand Theft Auto VI』(GTA6)への期待感につけ込むマルウェアキャンペーンを発見しました。話題沸騰中の同ゲームの偽「リーク版」に見せかけたファイルの中に、リモートアクセス型トロイの木馬(RAT)やインフォスティーラー、そして破壊的なランサムウェアを仕込んでいたということです。
GTA6の発売はまだ3か月先ですが、ゲームプレイ映像のリーク騒動と、パブリッシャーであるRockstar Gamesによる公式の長尺プレビュー公開が相まって、ファンの期待は最高潮に達しています。脅威アクターはこの状況を即座に悪用し、検索結果やゲーミングフォーラム、ソーシャルメディア、トレントサイトに、同ゲームへの早期アクセスをうたう偽のディスクイメージ(ISO)ファイルをばらまいています。Huntressによると、現時点でGTA6の本物のリーク版やプレイ可能版は一切存在しないとのことです。
罠が仕掛けられたインストーラー
Huntressの調査によれば、出回っている偽ISOファイルの一部は100GBを超えるサイズで、正規のAAAタイトルらしいファイルサイズに見せかけるためにジャンクデータで水増しされています。実際の悪意あるペイロードはそれよりはるかに小さく、あるバンドルの中に隠されています。研究者らは、このバンドルをインストーラーを実行した相手に「あらゆるもの」を浴びせようとする日和見的な試みだと表現しています。
ISOファイルを開くと、被害者にはgta6installer.exeという名前のファイルが表示されますが、奇妙なことにGTA6ではなくGTA5のアイコンが付いています。これを実行すると、ゲームがライセンス未認証であり起動しない可能性があるという警告がロシア語で表示され、「License not found」というエラーが出た場合は「クラック」を修正してもらうために攻撃者宛にメールを送るよう指示されます。実際、インストール完了後にはこのエラーメッセージがきちんと表示される仕組みになっており、これはゲームが一向に起動しないことをもっともらしく説明するための、あらかじめ用意された偽装工作です。その裏では、マルウェアが静かにバックグラウンドでインストールされています。
3種のRAT、インフォスティーラー、そしてワイパー
偽のインストーラーの奥には、小規模ながらも一通りそろったマルウェア群が潜んでいることを、Huntressは突き止めました。その多くは数年前から存在するもので、今回のキャンペーン用に単純に転用されています。リモートアクセス型トロイの木馬NJRATの複数のコピーがシステムに投下されるほか、別途DCRATのインスタンスも一つ設置されます。これにより攻撃者は、キーストロークの記録、ウェブカメラへのアクセス、デスクトップの閲覧、ブラウザの認証情報や暗号資産ウォレット情報の窃取、さらには感染マシンの完全な遠隔操作まで可能になります。
表向きは教育目的のツールとされているオープンソースのインフォスティーラー「Mercurial Grabber」もインストールされ、Discordのトークン、Chromeに保存されたパスワードとCookie、RobloxやMinecraftのセッションデータ、Windowsのプロダクトキーやシステム情報などを収集し、Discordのウェブフックを通じてすべて外部に送信します。
中でも最も破壊的なのが、よく知られたChaosランサムウェアファミリーの亜種です。Huntressによれば、これは金銭目的の恐喝ではなく、純粋にワイパーとして使われているとのことです。管理者権限を持つマシン上で発動すると、シャドウコピーのバックアップを削除し、Windowsの復旧オプションを無効化した上で、200MB未満のファイルは暗号化し、それより大きいファイルはランダムなデータで上書きして完全に破壊します。標的となるのはデスクトップ、ドキュメント、ピクチャ、OneDriveの各フォルダで、破壊後にはデスクトップの壁紙が、マシンが「Asha Hacker Team」によってハッキングされたことを告げるスポンジ・ボブの画像に変更され、実際の支払い方法が一切記載されていない身代金要求メモが残されます。
このインストーラーはさらに、ロシアや東欧で人気のサービスであるYandex Browserも一緒に投下します。ロシア語のプロンプトや身代金メッセージと合わせて考えると、Huntressはこのキャンペーンが主にロシア語圏のゲーマーを標的にしていると見ていますが、同じ手口は他地域のファンに対しても容易に転用され得るとしています。
使い古されたマルウェア、変わらぬ誘い文句
Huntressは、今回使われている個々のマルウェアコンポーネントはいずれも目新しいものでも高度なものでもなく、最新版のWindows Defenderを使っていればすべて検知・ブロックできるはずだと指摘しています。研究者らによれば、より大きなリスクはソーシャルエンジニアリングの側面にあります。大作ゲームの早期入手を焦るファンは、セキュリティ警告を無視して未検証の実行ファイルを起動してしまいがちだというのです。
同社のアドバイスは明快です。クラック版や海賊版ソフトウェア、特にまだ正式発売されていないゲームのものについては、ダウンロードを避けるべきだとしています。すでにこのインストーラーを実行してしまったと思われる場合は、直ちに該当マシンをネットワークから切り離し、パスワードをリセットし、可能な限り二要素認証を有効化した上で、システムを中途半端に清掃するのではなく、完全に再イメージ化することを勧めています。
Huntressは、ファイルハッシュ、投下されたファイルのパス、コマンド&コントロールインフラなどを含む技術的な侵害指標(IoC)の全容を、分析結果とあわせて公開しています。詳細はこちらから確認できます: https://www.huntress.com/blog/fake-gta6-download-malware-analysis
