誰かがGoogleの新しいアンチグラビティコーディングツールを探して、ダウンロードをクリックしてインストーラーを実行し、まさに彼らが手に入れたいと思っていたものを手に入れました。アンチグラビティはきれいにインストールされました。デスクトップにショートカットが表示されました。アプリケーションが開いて機能しました。見た目も感じも何も悪いところはありませんでした。
しかし、舞台裏では、そのインストーラーはユーザーが見ることができるものを何も壊すことなく、あなたのアカウント、あなたのデータ、さらにはあなたのマシンを攻撃者に与えることができます。
この記事では、このキャンペーンの技術的詳細、その仕組み、そしてこれをインストールしたと思われる場合の対応方法を説明します。
あなたが実際に欲しかったものを与えてくれたダウンロード
Google Antigravityは2025年11月に立ち上がり、それ以来、ウェブ上で最も検索されている開発者ツールの1つになっています。実際の製品はantigravity.googleにあります。この製品に新しい人のほとんどは実際のURLを暗記していないため、ユーザーがgoogle-antigravity[.]comのハイフン付きの似たドメイン（私たちが「タイポスクワット」ドメインと呼ぶもの）に到達すると、一見すると十分説得力がありました。
そのため、彼らはファイルをダウンロードしました。Antigravity_v1.22.2.0.exeと呼ばれています。
インストーラーは単に実際のGoogleのものに見えるように名前が付けられているだけではありません。容量は138MB：アンチグラビティアプリケーション全体、そのElectronランタイム、そのVulkanグラフィックライブラリ、そのアップデーターのすべてを含むのに十分な大きさです。なぜなら、それはまさに内部にあるものだからです。
攻撃者は説得力のある偽物を作成したのではなく、本物のアンチグラビティインストーラーを取得し、セットアップ中に実行するPowerShellスクリプトを1つの追加ステップを追加し、結果を再パッケージ化しました。悪質なステップは、数十の正当なものが実行されるシーケンスの1つの追加行です。セットアップは次のようでした：
どうやって1行だとわかるのか？見ればわかります。
MSIのカスタムアクションテーブル（インストール中にインストーラーが実行するすべてのステップのリスト）には、インストーラーツールが自動的に生成する11の標準的な定型エントリが含まれています：ファイルの抽出、Windowsバージョンの確認、管理者権限への昇格、ログの記述、後のクリーンアップ。それぞれにAI_で始まり、その直後に実行内容の説明が続く名前があります。そして、同じリストの一番下に、別の行があります。名前はwefasgsdfgです。これは、インストーラーツールがツールに名前を入力するよう促したときに攻撃者が入力したキーボードのランダム文字であり、PowerShellスクリプトを実行する1つです。
AntigravityはC:\Program Files (x86)\Google LLC\Antigravity\に適切にインストールされます。[スタート]メニューのエントリが表示され、デスクトップショートカットが配置され、すべてが機能します。ユーザーはアプリを開き、試し、閉じて、その日をすごします。彼らは実際に自分たちがインストールしたいと思っていたものをインストールしたため、すべてが大丈夫に見えます。悪質な部分は静かに、彼らが決して開かないフォルダで起こっています。
2つの小さなスクリプトと電話通信
インストールの途中のどこかで、MSIは小さなヘルパースクリプトを実行します。このスクリプトは、ユーザーの一時フォルダに2つのPowerShellファイルscr5020.ps1とpss5032.ps1をドロップします。ファイル名は特定のものに見えますが、そうではありません：各プレフィックスの後の4文字は、インストーラーが実行されるたびに新しく生成されます。
定数として残るのはプレフィックスです：ユーザースクリプト用のscr、PowerShellラッパー用のpssです。なぜなら、それらはインストーラーツールのカスタムアクションスクリプトの標準命名パターンから来ているからです。
2つのファイルのうち、2番目は変更されていないAdvanced Installerユーティリティです。これは本当に無害で、多くの実際の製品に存在しています。最初は攻撃者によって追加されたもので、1つの仕事があります：https://opus-dsn[.]com/login/へのHTTPS接続を開き、サーバーが送り返すコードをダウンロードして、実行します。混ぜるために、Microsoftリファラーヘッダーをスプーフィングし、システムのデフォルトWebプロキシを経由するため、ユーザーが気づかなくても、ITが設定したコーポレートプロキシ設定と認証を継承します。また、親PowerShellのTLS設定を保存して復元し、終了後にそのグローバルを変更したままにしません。それが全てのスクリプトです。
研究者はこのパターンを「ダウンローダー・クレードル」と呼び、攻撃者にとっての利点は柔軟性です。実際のペイロードは、野外で出回っているインストーラーの内部ではなく、彼らのサーバーに存在しているため、ファイルユーザーがダウンロードしているファイルに触れることなく、それを交換したり、ターゲットを変更したり、操作をオフにしたりできます。
この場合、クレードルはまさに構築された通りに機能し、それ以上は機能しませんでした：opus-dsn[.]comのDNSクエリ、ポート443の89[.]124[.]96[.]27への単一TCP接続、/login/への静かなHTTPS GET、その後PowerShellプロセスが終了します。
他には何も起こりませんでした。2番目のスクリプトはフェッチされませんでした。ファイルはドロップされませんでした。スケジュール済みタスクは作成されませんでした。Windows Defenderへの変更は加えられませんでした。ほとんどの自動化されたセキュリティツールは肩をすくめて移動します。
しかし、マルウェアは失敗していませんでした。それは攻撃者のサーバーに自己紹介をし、次に実行するコードを求めていました。答えが戻ってくるかどうかは、オペレーターが後で、自分たちのペースで、1人の被害者ごとに決めることができるのです。被害者側から、何が返されたのかを判断することはできません。分析のために、サーバーが答えが「はい」である場合に何を送信するかを取得しました。
答えが「はい」である場合に到着するもの
サーバーがターゲットが攻撃する価値があると判断すると、後続のスクリプトは3つの動きで作業を実行します。
最初に、Defenderを目をそらさせます。Add-MpPreference（cmdlet名をバッククォートで分割し、素朴な文字列マッチング検出を回避するための小さな難読化）を呼び出して、%ProgramData%と%APPDATA%をスキャンから除外し、.exe、.msi、.dllファイルをスキャンから除外し、PowerShell、regasm.exe、rundll32.exe、msedge.exe、chrome.exeをスキャンから除外します。その後ではじめて、マシンのプロフィール（Windowsバージョン、Active Directoryドメイン、インストール済みのアンチウイルス製品）を収集して電話をかけます。RSA暗号化を使用して、スクリプトに埋め込まれた公開鍵を使用して、opus-dsn[.]comにutm_contentクエリパラメーター内で送信します。これはアクセスログでは通常のマーケティングトラッキングのように見えます。これは、オペレーターが特定のマシンが次のステージの価値があるかどうかを決定するのに使用するプロフィールです。
第2に、ギャップを広げます。2番目のAdd-MpPreferenceブロックは、除外リストを.pngファイル拡張子とconhost.exeプロセス（次のステージが必要な正確な2つの追加）を含めるように拡張します。その後、AmsiEnable=0をHKLM\Software\Policies\Microsoft\Windows Script\Settingsに書き込み、Windows Antimalware Scan Interface（通常、Defenderが実行前にスクリプトを読むことができるレイヤー）を無効にします。この時点以降、悪質なアクティビティは、Defenderが無視するよう指示されたフォルダ、ファイルタイプ、およびプロセスを通じて実行されています。
第3に、永続性をステージングします。https://captr.b-cdn[.]net/secret.pngからsecret.pngというファイルをダウンロード（一見すると他の任意のコンテンツ配信リンクのように見えるBunnyCDN URL）し、C:\ProgramData\MicrosoftEdgeUpdate.pngに保存します。Microsoftの実際のブラウザー更新フォルダーの隣に配置されるように選択されたパスです。ファイルは画像ではありません。これはAES-256-CBCの暗号文（鍵とIVの両方がハードコードされたパスフレーズから10,000回のイテレーションでPBKDF2経由で導出される）であり、.NETアセンブリをラップしています。スケジュール済みタスクは、名前MicrosoftEdgeUpdateTaskMachineCore{JBNEN-NQVNZJ-KJAN323-111}で登録されます。これは、一見すると本物のMicrosoft Edge更新タスクと区別がつかず、すべてのログオン時に実行されるように設定されていて、権限なしで実行するため、UACプロンプトを生成しません。実行するアクションはconhost.exe --headlessです。これは非表示のPowerShellを起動し、偽りのPNGをメモリで復号化し、結果の.NETアセンブリをその独自のアドレス空間に反射的にロードします。通常の実行可能ファイルとしてディスクに何もランディングしません。永続するのは暗号化されたイメージだけで、Defenderが無視するよう求めたフォルダーにあります。
その後、まったく永続化しない2番目のペイロード。スクリプトはそこで止まりません。スケジュール済みタスクを登録して開始した後、確認ビーコンを送信し、別の暗号化されたファイル（GGn.xml）を同じBunnyCDNホストからダウンロードする完全に別のブロックを実行して、異なるハードコードされたAES鍵で復号化し、そのアセンブリも実行中のPowerShellプロセスに反射的にロードします。最初のペイロードは再起動後に存在します。この1つはメモリ内で一度実行され、消えます。2つの.NETアセンブリ、1つのキャンペーン、被害者上。
ペイロードが構築されて実行するもの
復号化されたアセンブリは.NETスティーラーです。これは、その独自のクラスとメソッド名から特徴付けることができます。このメソッド名は、ブラウザー、メッセージングアプリ、ゲームプラットフォーム、FTPクライアント、および暗号ウォレットをスキャンし、Logins、Cookies、Autofills、FtpConnectionsというラベルの付いたデータを収集する役割を平易な英語で説明しています。
実際には、マシン上のすべてのChromiumおよびFirefoxベースのブラウザー（Chrome、Edge、Brave、その他）が保存されたパスワード、自動入力データ（保存されたクレジットカードを含む）、ユーザーをサインインさせておくクッキーから剥ぎ取られます。Discordトークン、Telegramセッション、Steamログイン、FTP認証情報、暗号通貨ウォレットファイルも奪われます。
（ほとんどの正確なターゲットパスは難読化されており、実行時にのみ復号化されるため、静的分析から特定のアプリがすべて見えるわけではありませんが、盗難のカテゴリーはクラス名から明確です。）
セッションクッキーは、他の何よりも速く機能するため、ほとんどの人々を警戒させるべき部分です。盗まれたログインクッキーにより、攻撃者はパスワードや2要素認証をトリガーせずにGmailのインボックスやバンキングポータルに直接入ることができます。ウェブサイトの観点からは、ユーザーは既にサインインしています。感染からアカウント乗っ取りまでのギャップは数分です。
データ盗難を超えて、マルウェアはクリップボード乗っ取りとキーストロークロギングに使用されるWindows APIもインポートします。これらのツールは、入力内容をキャプチャしたり、暗号通貨ウォレットアドレスを資金を送信する正確な時間にスワップしたりできます。
また、「非表示デスクトップ」の伝統工芸の構成要素が含まれています：攻撃者がキャプチャして潜在的に制御できる2番目の非表示Windowsデスクトップを作成します。その最も高度な形式では、これにより、攻撃者は被害者の実際の画面が何も異常を表示していない間に、その非表示環境内で動作できます。アカウントにサインインしたり、トランザクションを承認したり、メッセージを送信したりします。感染期間中、攻撃者は事実上、コンピュータ上の2番目の存在です。
このキャンペーンが単一のインストーラーを超えて重要である理由は、その形が新しくないということです。これは私たちが数か月間監視してきたパターンの洗練されたバージョンです：新しいAI製品が多大な注目を集めてから数週間以内に、それらと並んでルックアライクドメインとトロイの木馬化されたインストーラーが表示されます。Antigravityは最新の例ですが、最後ではありません。
攻撃者にとっての動機は明らかです。大きな注目を集めたAIの立ち上げのたびに、実際のURLを暗記する前にそれを試したい、または信頼できるソースに対してそれをチェックしなかった可能性のあるユーザーの流入が生じます。
あなたが持つべきではないものを手に入れましたか？
このスタイルのキャンペーンが検出されにくい理由は、ほとんどの被害者がターゲットにされたことを決して知らないということです。オペレーターがマシン上でエスカレートしないことを選択したために逃げた人たちは、何が起こったのかを考える理由がありません。
逃げなかった人たちは通常、後で見つけます：彼らが要求しなかったパスワードリセット、奇妙なメッセージについて友人に尋ねることができるメッセージ、または突然おかしく見える銀行残高。その時までに、彼らをターゲットにするという決定は数日前に下されました。
影響を受けた可能性がある場合の対処方法
あなたまたはコンピュータを共有している誰かがantigravity.google以外の任意の場所からGoogle Antigravityと呼ばれるものを最近インストールした場合、まずネットワークインジケーターを確認することから始めます。ファイアウォールログ、EDRアラート、またはルーターログでopus-dsn[.]com、captr.b-cdn[.]net、または89[.]124[.]96[.]27への接続を探してください。PowerShellプロセスからの単一接続は、チェックインが発生したことを確認するのに十分です。
- 異なるクリーンなデバイスから、重要なアカウントのすべてのアクティブなセッションからサインアウト：Google、Microsoft 365、任意のバンキングポータル、GitHub、Discord、Telegram、Steam、および暗号交換。ほとんどのサービスは、セキュリティ設定の下で「どこでもサインアウト」オプションを備えています。
- これらのアカウントのパスワードを変更します。メールから始めてください。メールが侵害されている場合、攻撃者はほぼ他のすべてをリセットできます。
- 影響を受けたコンピュータにあるAPIキー、SSHキー、またはクラウド認証情報をローテーションします。単にそれらに付加されたパスワードだけではありません。
- マシン上に暗号通貨ウォレットがある場合は、クリーンなデバイスから直ちに資金を移動してください。これはこれらのオペレーターが最初に現金化するものです。
- 銀行およびクレジットカードの明細を見慣れない請求について監視し、銀行と詐欺警告を出すことを検討してください。
- Windowsをワイプして再インストール。このクラスのマルウェアを実行したマシンは信頼されるべきではありません。
- マシンが仕事用ラップトップである場合は、今日、ITまたはセキュリティチームに伝えてください。ビーコンはマシンのActive Directoryドメインを収集するため、ドメイン参加コーポレートラップトップでは、攻撃者は現在、この被害者が属するネットワークの会社を知っています。つまり、これは単なる個人的な問題ではありません。
侵害の指標（IOC）
ファイルハッシュ（SHA-256）
61aca585687ec21a182342a40de3eaa12d3fc0d92577456cae0df37c3ed28e99（Antigravity_v1.22.2.0.exe）
ネットワークインジケーター
captr.b-cdn[.]net
google-antigravity[.]com
opus-dsn[.]com
89[.]124[.]96[.]27
「惑星上で最高のサイバーセキュリティスイートの1つ。」
CNETによると。彼らのレビューを読む →
