『Grand Theft Auto VI』(GTA 6)の発売まではまだ3か月ありますが、サイバー犯罪者たちは発売日を待ってはいません。セキュリティ企業Huntressは、早期入手を望むファンを狙って、リーク版を装ったマルウェアを発見しました。
Huntressが解析したサンプルには、複数の異なるマルウェアコンポーネントが含まれていました。研究者らは、これを日和見的な詰め合わせだと表現し、「インストールを試みるユーザーに対して、あらゆるものを浴びせかけている」と説明しています。パッケージには、偽のインストーラー、複数のRAT、インフォスティーラー、ワイパーとして使われるランサムウェア、さらにはウェブブラウザまで含まれていました。
偽インストーラーがペイロードを隠す
ISOファイルを開くと、メインのインストーラーファイルであるgta6installer.exeが現れます。このファイルにはいまだにGTA5のアイコンが使われています。実行するとロシア語のメッセージが表示され、インストールが「License not found」エラーで失敗する可能性があると警告した上で、修正を依頼するためのメールアドレスが提示されます。
偽のGTA6インストーラーに含まれていたメッセージ（出典: Huntress）
インストールが完了すると、スクリプトが起動し、まさにそのエラーメッセージが表示されます。これにより、ユーザーにはゲームが起動しなかった理由がもっともらしく提示されます。その裏では、実際のペイロードがバックグラウンドでインストールされています。
Huntressはインストーラーに記載されていたメールアドレスに連絡し、誰が応答するか確認しようとしましたが、本稿執筆時点では返信を得られていません。
「ISOに含まれるマルウェアはかなり古いもので、今回の日和見的な攻撃向けに再利用されたものと見られます。多くの場合、ファイルの日付は2023年にまで遡ります。インストールを進めると、システムの%TEMP%フォルダに複数のファイルが追加され、その多くは疑いを避けるためGTA6ブランドを冠しています」と研究者らは記しています。
「その後、checkinternetconnection.batファイルがMicrosoft Edgeを起動し、https://clck[.]ru/34uJnpに接続します。ここでインターネット接続を確認したうえで、各種マルウェアコンポーネントの展開とインストールに進みます。」
RAT、インフォスティーラー、そして破壊的なランサムウェア
まず最初に、複数のNJRATのコピーが検出されます。これにより攻撃者は、シェルアクセス、キーストロークロギング、カメラアクセス、ブラウザの認証情報窃取、ファイルのアップロードとダウンロード、ファイルおよびレジストリエントリの制御、ライブデスクトップ表示とスクリーンショット、さらには暗号資産ウォレットの詳細情報へのアクセスまで手に入れます。
それに加えて、DCRATのコピーも含まれています。これにより攻撃者は、マウス操作、スクリーンショット取得、クリップボードアクセス、レジストリの読み書き権限、オーディオデバイスの検出、ウィンドウの追跡が可能になります。DCRATはまた、Windowsのhostsファイルを書き換え、アンチウイルスのテレメトリがセキュリティベンダーに届かないようブロックします。
さらにインフォスティーラーとして、GitHub上で「教育目的のみ」とラベル付けされ無料公開されているMercurial Grabberというツールが含まれています。これはDiscordトークン、Chromeのパスワードとクッキー、RobloxおよびMinecraftのセッションデータ、Windowsのプロダクトキー、スクリーンショットを収集し、Discordのウェブフックを通じてすべてを外部に送信します。
最も被害が大きいのは、Chaosランサムウェアの亜種です。「技術的にはよく知られたランサムウェアファミリーですが、攻撃者たちは感染したユーザーから身代金を得ようとしているようには見えません。むしろ、システム上のファイルを暗号化・破壊しており、実質的にランサムウェアをワイパーとして利用しています」と研究者らは指摘しています。
200MB以下のファイルは暗号化され、それより大きいファイルはランダムなデータで上書きされて完全に破壊されます。シャドウコピーによるバックアップは削除され、Windowsの復元オプションも無効化されます。さらにデスクトップの壁紙は、スポンジボブの画像と「ASHA Hacker Team」による犯行を主張するメッセージに変更されます。
「こんにちは、あなたのファイルはachvz1omによって暗号化されました。PayPalや他の銀行口座は持っていないので、寄付を受け取ることはできません。あなたのファイルは永久に暗号化されたままです」と、身代金要求メモには記されています。
最後に、このインストーラーはYandexブラウザのコピーを設置しますが、Huntressはその明確な理由を特定できませんでした。全体を通してロシア語のメッセージが使われていることと合わせると、ロシア語話者のユーザーが標的の一部に含まれている可能性を示唆しています。
Windows Defenderで検知可能
研究者らによれば、朗報として、このISOには特に目新しい点はないとのことです。含まれているマルウェアは数年前のものであり、最新版のWindows Defenderであれば問題なく検知し、システムへの侵害を阻止できるはずです。
「一般論として、クラック版や海賊版ソフトウェアをダウンロードしようとするのは、特に対象のゲームがまだ発売されていない場合には賢明ではありません。これは、待ちきれず前のめりになっているユーザーを狙う詐欺や攻撃者にとって格好の温床です」とHuntressは結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/09/10/fake-gta-6-downloads-malware-ransomware/
