研究者、YouTubeとSEOポイズニングを悪用したキャンペーンの背後に1万件超のマルウェアローダーを発見

YouTubeのゲーム系チャンネルとSEOポイズニングを施したソフトウェアダウンロードを利用し、大規模にマルウェアを拡散させていた長期にわたるペイパーインストール(PPI)型の攻撃基盤が明らかになりました。

マルウェア対策ソフトウェア

CL-CRI-1171として追跡されているこのクラスターは、OfferLoaderと呼ばれる独自のローダーの1万件を超える異なる検体と関連付けられており、当初確認されていた個別の侵入事例をはるかに超える規模の配布インフラであることを示しています。

攻撃者は単一の高度なインプラントや明らかに標的を絞った侵入チェーンに頼るのではなく、トロイの木馬化されたインストーラー、使い捨てドメイン、ブラウザベースのフィルタリング、アフィリエイト追跡を組み合わせ、自動解析システムを回避しながら被害者を選別してペイロードを配信していました。

Unit 42によると、この活動は少なくとも2年間にわたって展開されており、「インフェクション・アズ・ア・サービス」型のプラットフォームとして機能していたとのことです。

PPIモデルでは、侵害したシステムへのアクセスを複数の下流の攻撃者に販売できるため、一見無害に見える1つのインストーラーが、それぞれ別個の指令サーバー(C2)インフラ、目的、収益化モデルを持つ無関係なマルウェアファミリーを展開することが可能になります。

研究者らは、この攻撃活動に関連する少なくとも11のYouTubeチャンネルを特定しました。

これらのチャンネルは合計で数十万人の登録者と数百万回の再生回数を抱えており、フレームレートの改善、クラッシュの修正、ゲーム設定の最適化など、フレームレート向上に関する一見正当なコンテンツを公開していました。

動画自体は本物のゲーム攻略アドバイスを提供していましたが、概要欄やリンク先のページはユーザーを悪意ある「最適化ツール」やチート、ユーティリティ、ソフトウェアパッケージへと誘導していました。

リンクの多くは中間のBlogspotページを経由してから、SEOポイズニング攻撃で使われているのと同じPPIゲートインフラへユーザーを誘導していました。

Unit 42によると、これらのチャンネルについてはYouTubeに通報がなされ、既に停止措置が取られているとのことです。

これと並行して展開されたSEOポイズニングによる誘導経路は、正規のツールやソフトウェアを検索しているユーザーを標的にしていました。実際に調査された事例では、被害者はBluetoothドライバーやディスク使用状況分析ユーティリティ「WinDirStat」のトロイの木馬化されたバージョンをダウンロードしていました。

偽のダウンロードページでは、ファイルホスティングを装ったおとり文句や、紛らわしいウイルススキャンのアニメーションを表示した後、悪意あるインストーラーを含むZIPアーカイブを提供していました。

1万件超のマルウェアローダー

GBHackersと共有されたレポートの中でUnit 42は、このキャンペーンが日常的に見えるよう振る舞うことでマルウェア配布インフラがほとんど気付かれずに存在し続ける仕組みを示していると述べています。

マルウェア対策ソフトウェア

この攻撃チェーンでは、トラフィックをふるいにかけるゲーティング機構が使われていました。トラッカーURLには、訪問者のオペレーティングシステム、ブラウザ、参照元ドメイン、検索語、パブリックIPアドレスといったテレメトリ情報を含むBase64エンコードされたclick_idパラメータが組み込まれていました。

正当な被害者のフィンガープリントと判定された場合はマルウェアのダウンロードへと転送される一方、クローラーやセキュリティスキャナー、研究者に対してはリンク切れや、正規のWinRARダウンロードを装ったおとりページが表示されていたと報告されています。

配信の中核を担うコンポーネントであるOfferLoaderは、トロイの木馬化されたInno Setupインストーラーに埋め込まれています。

その目的はそれ自体が長期的なアクセスを維持することではなく、PPI利用者から提供される個別のマルウェア「オファー」を起動する使い捨ての展開フレームワークとして機能することにあります。

実際に確認された感染チェーンの一例では、正規を装ったwindirstat.exeのインストーラーが一時的なコンポーネントを展開し、それが追跡用サーバーと通信していました。

このサーバーは実行を停止させる「no」、または複数の子プロセスの展開を引き起こす「ok」のいずれかを返していました。

これらの子プロセスはそれぞれ別個のマルウェアペイロードを配信しており、複数の独立した犯罪活動が同一の感染端末上で共存できるようになっていました。

Unit 42は、.xyz、.cfd、.space、.infoの各トップレベルドメインにまたがる特徴的な2単語の命名規則を用いた、200以上のローテーション式インフラドメインを特定しました。

このローテーション式インフラと共有ローダー、そして重なり合う配信経路により、YouTubeとSEOの両キャンペーンが単一の持続的なクラスターと結び付けられました。

2026年4月の一連の侵入事例では、Insomnia RAT、ARKTunnel、Docro Hijackerという3つのマルウェアファミリーが配信されていました。

マルウェア対策ソフトウェア

その後6月に発生した別の感染事例では、GCleanerとSocks5Systemzという異なるペイロードが配信されており、OfferLoaderのペイロードセットがモジュール式であり、アフィリエイトやキャンペーンごとに変化し得ることが裏付けられています。

Insomnia RATは、Node.jsとPython製のバックドアを組み合わせることで、複数の冗長なアクセス経路を確保しています。

このインストーラーはMicrosoft Defenderの保護機能を無効化し、C:\を除外対象に追加した上で、インプラントの実行に必要なランタイム環境を展開すると報告されています。

また、Maps Performance TaskやOOBETaskSchedulerといったWindowsの構成要素を装ったスケジュールタスクを作成し、insomnia/2023.4.0 Windowsというユーザーエージェント文字列を用いて指令サーバーと通信します。

ARKTunnelはこれまで報告されていなかったWebSocketベースのトンネリング型RATで、ビットマップ画像から最下位ビット(LSB)ステガノグラフィを用いてペイロードのアーカイブを抽出します。

このインプラントはTCPおよびUDPトンネリング、ファイル実行、サービスを利用した永続化機能をサポートする一方で、メタデータにはEarthKarkやTamarkLarkといった架空の企業名をローテーションさせて使用しています。

Docro HijackerはGoogle Chromeを標的にしています。ブラウザのHMAC-SHA256整合性チェック機構を回避することでChromeのSecure Preferencesを改変し、検索プロバイダーの強制変更やManifest V3拡張機能のインストールを可能にします。

この拡張機能は、広告を挿入したり、アフィリエイトリンクを書き換えたり、検索トラフィックを攻撃者が管理するインフラへとリダイレクトしたりすることができます。

今回のキャンペーンは、アドウェアに似たローダーや不審なインストーラー、迷惑ソフトウェアの可能性がある検知結果を「優先度が低い」として扱うことのリスクを浮き彫りにしています。

セキュリティチームは、検索結果から入手した署名なしインストーラーを調査し、最近登録されたドメインを監視し、アーカイブ展開後に作成されたスケジュールタスクを点検し、ブラウザの環境設定の改変や想定外のChrome拡張機能を検知すべきです。

クラウドセキュリティソリューション

また組織は、海賊版ソフトウェア、ゲームチート、非公式の最適化ツール、特に動画の概要欄や検索結果を通じて宣伝されるリンクからのダウンロードをブロックすべきです。

このキャンペーンの強みは単一のエクスプロイトにあるのではなく、侵害を平凡なものに見せかけるよう構築された、拡張性が高く選別的な配布システムにあります。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤って解決・ハイパーリンク化されるのを防ぐため、意図的に無害化表記(例: [.])にしています。再有効化はMISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

★ 7つの指標ゲート方式によるAI SOC導入フェーズを学ぶ – 無料AI SOC導入プレイブック2026をダウンロード。