サイバー犯罪者たちが、発売間近の「グランド・セフト・オートVI」への期待を悪用し、リーク版のゲームファイルを装ったマルウェアを拡散させています。
偽の「GTA6」ISOファイルは、検索結果や torrent サイト、ゲーム系フォーラム、SNSを通じて拡散されており、パスワード窃取型マルウェアやリモートアクセス型トロイの木馬(RAT)、ファイル破壊型マルウェアを送り込んでいます。
現時点では、正規のプレイ可能な「GTA 6」デモ版や完全版のリークはオンライン上に一切存在していません。攻撃者はこの需要につけ込み、100GBを超えることもある巨大なISOファイルを提供することで、本物らしさを演出しています。
ファイルの大部分は無意味な水増しデータで占められており、実際の悪意あるペイロードは小さく、偽のインストーラーの中に隠されています。
この悪意あるISOにはgta6installer.exeという名前のファイルが含まれており、「GTA 5」風のアイコンを使うことで正規のものに見せかけています。実行すると、ロシア語のメッセージが表示され、これは非公式にリークされたビルドであると主張します。
さらに「ライセンスが見つかりません」というエラーが表示される場合があると警告し、いわゆるクラック版アップデートを受け取るためのメールアドレスを提示します。
このメッセージ自体が詐欺の一部です。インストーラーが実行されると、Windowsの%TEMP%ディレクトリに複数のファイルが展開されます。その中にはrockstar.exe、steam.exe、licensechecker.exe、gta6.exe、adminapp.exeという名前の実行ファイルが含まれています。
checkinternetconnection.batという名前のバッチファイルがMicrosoft Edgeを起動し、clck[.]ru/34uJnpにアクセスして、感染したシステムがインターネットに接続できているかを確認します。その後、複数のマルウェアコンポーネントを起動します。
3つのファイルが、広く使われているリモートアクセス型トロイの木馬である NJRAT を展開します。NJRATはキーストロークの記録、ブラウザ認証情報の窃取、スクリーンショットの取得、Webカメラへのアクセス、ファイルのダウンロード・アップロード、レジストリの改変、暗号資産関連データの収集などが可能です。
このRATの検体はファイアウォールルールを作成し、AWSでホストされているIPアドレスやngrokトンネルと通信します。
別のファイルはDCRATをインストールし、攻撃者に感染デバイスへのリモート制御権を与えます。その機能には、スクリーンショットの取得、クリップボードの監視、マウス操作、レジストリへのアクセス、オーディオデバイスの検出、ウィンドウの追跡などが含まれます。
DCRATはさらにWindowsのhostsファイルを改変し、セキュリティ製品やオンラインプラットフォームに関連するテレメトリ・報告サービスをブロックします。
このISOには、Mercurial Grabberという情報窃取型マルウェアであることが確認されたadminapp.exeも含まれています。
最も被害が大きいペイロードは、gta6.exeを通じて起動されるChaosランサムウェアの亜種です。Huntressによれば、このマルウェアは身代金を要求するのではなく、ファイルを恒久的に破壊するよう設計されているとみられます。
注: IPアドレスおよびドメインは、意図せぬ名前解決やハイパーリンク化を防ぐため、意図的にディフェング(defang、例: [.])処理を施しています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。
16,000以上の組織から得られる最新の脅威インテリジェンスで、脅威検知率を58%向上。TIフィードを統合することで、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/fake-gta-6-scams/
