誰かがGoogle の新しいAntigravityコーディングツールを今週探していて、ダウンロードをクリックし、インストーラーを実行して、まさに彼らが思っていたものを手に入れました。Antigravityはきれいにインストールされました。デスクトップにショートカットが表示されました。アプリケーションが開いて動作しました。何も悪く見えたり、悪く感じたりしませんでした。
しかし水面下では、そのインストーラーはユーザーが見ることができるものを何も壊すことなく、あなたのアカウント、あなたのデータ、さらにはあなたのマシンを攻撃者に与える可能性があります。
この記事では、キャンペーンの技術的な詳細、その仕組み、そしてインストールされた可能性があると思う場合の対処方法を説明します。
あなたが本当に欲しかったものを与えてくれたダウンロード
Google Antigravityは2025年11月に開始され、それ以来ウェブ上で最も検索されている開発者ツールの1つです。実際の製品はantigravity.googleにあります。製品が初めての人はほとんど実際のURLを暗記していないため、ユーザーがハイフン付きの見た目の悪い(タイポスクワッティングドメインと呼ばれます)google-antigravity[.]comに到達すると、一見するとそれは説得力がありました。
そのため、Antigravity_v1.22.2.0.exeというファイルをダウンロードしました。
インストーラーは単に本物のGoogleの見た目にするために名前が付けられているのではありません。これは138MBです。Antigravityアプリケーション全体、そのElectronランタイム、そのVulkanグラフィックスライブラリ、そのアップデーター、すべてを運ぶのに十分な大きさです。それは実際に内部にあるものです。
攻撃者は説得力のある偽造品を作成しませんでした。本物のAntigravityインストーラーを取得し、セットアップ中にPowerShellスクリプトを実行するためにもう1つの追加ステップを追加し、結果を再パッケージ化しました。悪意のあるステップは、ダースの正当なステップを実行するシーケンスの1つの追加行です。セットアップは次のようになりました:
それが1行だと思うのはなぜですか?見ることができるからです。
MSIのカスタムアクションテーブル(インストール中にインストーラーが実行するすべてのステップのリスト)には、インストーラーツールが自動的に生成する標準的な定型エントリが11行含まれています:ファイルを抽出し、Windowsバージョンを確認し、管理者に昇格し、ログを書き込み、その後クリーンアップします。これらのそれぞれには、AI_の後に何をするかの説明が続く名前があります。そして、同じリストの下部に、攻撃者がインストーラーツールに名前の入力を促されたときにタイプしたwefasgsdfgという名前の1つの追加行があります-そして彼らのPowerShellスクリプトを実行するキーボードマッシュ。
AntigravityはC:\Program Files (x86)\Google LLC\Antigravity\に正しくインストールされます。[スタート]メニューエントリが表示され、デスクトップショートカットが配置され、すべてが機能します。ユーザーはアプリを開き、それを試し、閉じて、彼らの日中に行きます。彼らが実際にインストールしたいものをインストールしたので、すべてが問題ないように見えます。悪質な部分は、ユーザーが開くことのないフォルダーでひっそりと起こっています。
2つの小さなスクリプトと電話
インストール中のどこかで、MSIは2つのPowerShellファイルをユーザーの一時フォルダーにドロップしている小さなヘルパースクリプトを実行します:scr5020.ps1とpss5032.ps1.ファイル名は具体的に見えますが、そうではありません:各プレフィックスの後の4文字は、インストーラーが実行されるたびに新しく生成されます。
一定のままであるのはプレフィックスです:scrユーザースクリプトの場合、pssPowerShellラッパーの場合、これらはインストーラーツールのカスタムアクションスクリプトの標準命名パターンから来ます。
2つのファイルのうち、2番目は変更されていないAdvanced Installerユーティリティです。それは本当に無実で、多くの実際の製品に存在しています。1番目は攻撃者によって追加されたもので、1つの仕事があります:HTTPS接続をhttps://opus-dsn[.]com/login/に開く、サーバーが返すすべてのコードをダウンロード、そしてそれを実行します。混ざり込むために、Microsoftリファラーヘッダーを詐称し、システムのデフォルトWebプロキシを通してルーティングするため、ユーザーが気付かずにITがセットアップしたあらゆる企業プロキシの設定と認証を継承します。また、親PowerShellのTLS設定を保存および復元し、終了後にそのグローバル設定を変わらないままにします。それがスクリプト全体です。
研究者はこのパターンをダウンローダーゲートと呼び、攻撃者の利点は柔軟性です。実際のペイロードは、野生のインストーラー内ではなく、サーバー上に存在し、攻撃者はユーザーがダウンロードしているファイルに触れずに、それを交換したり、ターゲットを変更したり、操作をオフにしたりできます。
この場合、ゲートはそれが構築されたもの以上のことをしました:DNSopus-dsn[.]comのクエリ、ポート443での89[.]124[.]96[.]27への単一のTCP接続、/login/への静かなHTTPS GETを実行し、その後PowerShellプロセスが終了しました。
何も起こりませんでした。2番目のステージスクリプトはフェッチされませんでした。ファイルはドロップされませんでした。スケジュールされたタスクは作成されませんでした。Windows Defenderに変更は加えられませんでした。ほとんどの自動セキュリティツールは肩をすくめて移動します。
しかし、マルウェアは失敗しませんでした。それは攻撃者のサーバーに自己紹介し、次に実行するコードを尋ねました-そして答えが返ってくるかどうかは、オペレーターが後で自分のペースで、一度に1人の被害者を決定する決定です。被害者側から、何が返されたかを判断することはできません。分析のために、サーバーが答えが「はい」の場合に送信するものを取得しました。
答えが「はい」の場合に到着するもの
サーバーがターゲットを攻撃する価値があると判断した場合、その後のスクリプトは3つの動きでその仕事をします。
まず、Defenderが別の方向を見えるようにします。それはAdd-MpPreferenceを呼び出します(バックティックで分割されたcmdlet名、素朴な文字列マッチング検出を回避するための小さな難読化)%ProgramData%と%APPDATA%をスキャンから除外し、.exe、.msi、.dllファイルをスキャンから除外し、PowerShell、regasm.exe、rundll32.exe,msedge.exe、chrome.exeをスキャンから除外します。その後でのみ自宅に電話します-マシンのプロファイルを収集し(Windowsバージョン、Active Directoryドメイン、インストールされたアンチウイルス製品)、スクリプトに埋め込まれた公開鍵を使用してRSA暗号化し、utm_contentクエリパラメータ内のopus-dsn[.]comに送信し、任意のアクセスログでは通常のマーケティングトラッキングのように見えます。これは、オペレーターが次のステージの価値があるかどうかを判断するために使用するプロファイルです。
次に、それはギャップを広げます。2番目のAdd-MpPreferenceブロックは除外リストを拡張して.pngファイル拡張子とconhost.exeプロセス-次のステージが必要になる正確な2つの追加を含めます。その後、HKLM\Software\Policies\Microsoft\Windows Script\SettingsにAmsiEnable=0を書き込んで、Windows AntimalwareScan Interface-通常Defenderがスクリプトを実行する前に読むことができるレイヤーを無効にします。この時点以降、悪質なアクティビティは、Defenderが無視するように指示されているフォルダー、ファイルタイプ、プロセスを通じて実施されています。
第三に、それは永続性をステージします。https://captr.b-cdn[.]net/secret.pngからsecret.pngというファイルをダウンロード(一見どの他のコンテンツ配信リンクのようにも見えるBunnyCDN URL)し、C:\ProgramData\MicrosoftEdgeUpdate.pngに保存し、Microsoftの実在のブラウザアップデートフォルダーの隣に座ることを選択したパス。ファイルは画像ではありません。AES-256-CBCの暗号文です(キーとIVの両方が硬くコードされたパスフレーズからPBKDF2の10,000回の反復によって派生)。NETアセンブリをラップしています。スケジュールされたタスクは、MicrosoftEdgeUpdateTaskMachineCore{JBNEN-NQVNZJ-KJAN323-111}という名前で登録され、これは本物のMicrosoft Edgeアップデートタスクと区別できないほとんどで、すべてのログオンで実行するように設定されて、UAC プロンプトを生成することはないように非特権で実行されます。実行するアクションはconhost.exe --headless隠されたPowerShellを起動し、偽のPNGをメモリで復号化し、その結果のNETアセンブリをそれ自体のアドレス空間に反射的にロードします。通常の実行可能ファイルとしてディスクに何もランドしません。すべてが永続するのは、Defenderが無視するように求められたフォルダーの暗号化された画像です。
そして2番目のペイロード、それは永続化されません。スクリプトはそこで停止しません。スケジュールされたタスクを登録して開始した後、インストールを確認するために2番目のビーコンを送信し、2番目の暗号化ファイル(GGn.xml)を同じBunnyCDNホストからダウンロードする完全に分離されたブロック、異なる硬くコードされたAESキーで復号化し、そのアセンブリを実行中のPowerShellプロセスにも反射的にロードします。最初のペイロードは再起動後も生き残ります。このペイロードは一度実行され、メモリ内にあり、すぐになくなります。2つのNETアセンブリ、1つのキャンペーン、被害者の上。
ペイロードが組み立てられて行うこと
復号化されたアセンブリはNETスティーラーです。そのクラスと方法の名前からそれを特徴付けることができ、それは英語の平文でその仕事を説明します:それはブラウザー、メッセージングアプリケーション、ゲーミングプラットフォーム、FTPクライアント、および暗号ウォレットをスキャンし、Logins、Cookies、Autofills、FtpConnectionsというラベルの付いたデータを収集します。
実際には、これはマシン上のすべてのChromiumおよびFirefoxベースのブラウザー(Chrome、Edge、Brave、その他)が保存されたパスワード、自動入力データ(保存されたクレジットカードを含む)、およびユーザーが署名を保つクッキーから削除されることを意味しますそれぞれに。Discordトークン、Telegramセッション、Steamログイン、FTP認証情報、および暗号ウォレットファイルも取得されます。
(ほとんどの正確なターゲットパスは難読化され、実行時にのみ復号化されるため、特定のアプリは静的分析から完全に見えるわけではありませんが、泥棒のカテゴリはクラス名から明確です。)
セッションクッキーは、他のすべてより速く動作するため、ほとんどの人を警告すべき部分です。盗まれたログインクッキーにより、攻撃者はパスワードや2要素認証をトリガーすることなく、Gmailインボックスまたはバンキングポータルに直接移動できます。Webサイトの観点から、ユーザーは既に署名されています。感染からアカウント乗っ取りまでのギャップは数分です。
データ盗難の向こう側に、マルウェアはクリップボードハイジャックキーストロークロギングに使用されるWindows APIもインポートし、タイプしているもの、またはあなたが資金を送信する正確な瞬間に暗号ウォレットアドレスをスワップして何を捉えることができるツール。
また、「非表示のデスクトップ」トレードクラフトの構成要素も含まれています:攻撃者がキャプチャし、潜在的に制御できる2番目の目に見えないWindowsデスクトップを作成します。最も高度な形式では、これにより攻撃者はその隠された環境内で操作できます-アカウントにログイン、トランザクションの承認、またはメッセージの送信-被害者の実際の画面は何も異常は表示されません。感染の期間中、攻撃者は実質的にコンピューター上の2番目のプレゼンスです。
このキャンペーンがシングルインストーラー以外の問題である理由は、その形状が新しくないということです。数ヶ月間見ている洗練されたパターンのバージョンです:新しいAI製品は莫大な注目で起動し、数週間以内に、見た目の悪いドメインとトロイの木馬化されたインストーラーが並んで表示されます。Antigravityは最新の例ですが、最後ではありません。
攻撃者にとってのインセンティブは明白です。高い注目度のAI起動ごとに、実際のURLを暗記する前にそれをすぐに試したい、または信頼できるソースに対して二重チェックすることができないユーザーの急増を作成します。
あなたが しすぎて 拾ったもの?
このスタイルのキャンペーンが発見しにくい理由は、ほとんどの被害者が彼らがターゲットにされたことを決してだと思わないからです。オペレーターが自分のマシンでエスカレートしないという決定をしたため、彼らが逃げた者は何も起こったと思う理由はありません。
逃げなかった人は通常後で見つけます:彼らが要求しなかったパスワードリセット、奇妙なメッセージを求める友人、または突然間違って見えるバンク残高。その時までに、彼らをターゲットにする決定は数日前に行われました。
影響を受けている可能性がある場合の対処方法
あなたまたはコンピューターを共有している人が最近antigravity.google以外のどこからでもGoogle Antigravityと呼ばれるものをインストールした場合は、ネットワークインジケーターを確認することから始めてください。ファイアウォールログ、EDRアラート、またはルーターログでopus-dsn[.]com、captr.b-cdn[.]net、または89[.]124[.]96[.]27への接続を確認してください。PowerShellプロセスからの単一の接続は、チェックインが起こったことを確認するのに十分です。
- 別のクリーンデバイスから、重要なアカウントのすべてのアクティブセッションをサインアウトします:Google、Microsoft 365、任意のバンキングポータル、GitHub、Discord、Telegram、Steam、および暗号交換。ほとんどのサービスは、セキュリティ設定で「サインアウト」オプションのすべてを持っています。
- これらのアカウントのパスワードを、メールから始めて変更します。メールが侵害された場合、攻撃者はほぼすべての他のものをリセットできます。
- APIキー、SSHキー、またはそれらに付加されたパスワードではなく、影響を受けたコンピューター上にあったクラウド認証情報を回転させます。
- マシンに暗号ウォレットがある場合は、クリーンなデバイスからすぐに資金を移動してください。これらのオペレーターが最初に金銭化するものです。
- 銀行とクレジットカードのステートメントで不正な料金を観察し、銀行に詐欺アラートを配置することを検討してください。
- Windowsをワイプして再インストールします。このクラスのマルウェアを実行したマシンは信頼できません。
- マシンが仕事用ラップトップの場合は、本日ITまたはセキュリティチームに連絡してください。ビーコンはマシンのActive Directoryドメインを収集するため、ドメインに参加している企業ラップトップでは、攻撃者は現在このVICTIMが属するネットワークを知っているため、これはただの個人的な問題ではありません。
侵害インジケーター(IOCs)
ファイルハッシュ(SHA-256)
61aca585687ec21a182342a40de3eaa12d3fc0d92577456cae0df37c3ed28e99(Antigravity_v1.22.2.0.exe)
ネットワークインジケーター
captr.b-cdn[.]net
google-antigravity[.]com
opus-dsn[.]com
89[.]124[.]96[.]27
「地球上の 最高の サイバーセキュリティ スイートの 1つ。」
CNETによると。彼らのレビューを読む →
