このブログでは、「正しいこと」をしようとした結果、いかにして罠にまっすぐはまってしまうかについて書きます。VPN 、結局は認証情報を盗むマルウェアをダウンロードしてしまうVPN 。
被害者の立場からすれば、あらゆる段階で信頼が裏切られたことになる。検索エンジンへの信頼、見慣れたロゴへの信頼、デジタル署名への信頼、そして「最終的にはうまくいく」という前提があれば安全に違いないという信頼が、すべて裏切られたのだ。
職場ネットワークに接続するためのVPN を探していると想像してみてください。お気に入りの検索エンジンを使って検索すると、検索結果の上位に、まさに探していたもの――業界の老舗企業のものであるかのようなリストが表示されます。そこには正しいロゴや製品名があり、説明文も信頼できそうな内容になっています。
しかし、マイクロソフトが説明している事例で目にするのは、SEOポイズニングの影響を受けた検索結果です。検索エンジン最適化（SEO）ポイズニングとは、広告を購入したり、正当ではあるものの手間のかかるSEOのベストプラクティスに従ったりすることなく、関連する検索結果でウェブページを上位に表示させる手法のことです。その代わりに、サイバー犯罪者は、欺瞞的な手段や明らかに違法な手段を用いて、自身のページを上位に押し上げているのです。
なりすまされた――もしかすると クローン化されたVPN 、見慣れた光景が広がる。ベンダーのロゴ、製品名、そしてセキュアなリモートアクセスに関する短い説明文。何より目立つのは、大きく表示された「ダウンロード」ボタンだ。信頼できるベンダーのインストーラーがダウンロードできると期待してクリックすると、サイトはこっそりとGitHubのリリースページへリダイレクトし、次のような名前のZIPファイルを提供してくる。 VPN-CLIENT.zip.
GitHubは広く信頼されているため、マルウェア作成者にとって好まれる配布経路となっています。今回の攻撃キャンペーンでは、犯罪者らはファイルに正規の証明書で署名まで行っていましたが、その証明書はその後失効しています。ダウンロードされたZIPファイルにはMicrosoft Software Installer（.msi）ファイルが含まれており、インストール中に悪意のあるダイナミックリンクライブラリ（DLL）ファイルをサイドロードしつつ、被害者を「インストール」、「次へ」、「次へ」、「完了」という通常のインストール手順へと誘導します。
そのDLLの一つは、 dwmapi.dllはローダーとして機能し、組み込まれたシェルコードを起動し、そのシェルコードがさらに実行される inspector.dll、ハイラックスの亜種 情報窃取型マルウェアインストールが完了した瞬間から、そのVPN 単なるクライアントではなく、認証情報を盗むツールへと変貌します。
新しいVPNを使い始めると、次々と次のようなことが起こります：
- 偽のVPN は、ユーザーのユーザー名、パスワード、およびターゲットURIをキャプチャし、このデータをHyraxのインフォスティーラーコンポーネントに渡します。
- HyraxはVPN も読み取り、保存されている接続情報や認証情報をすべて収集します。
- このマルウェアは、盗み出した情報をすべて攻撃者が管理するインフラに送信する。
ユーザーに表示されるのは、「接続に失敗しました」や「インストールに問題が発生しました」といった、一見すると信憑性のあるエラーメッセージだけです。さらに、このマルウェアは、VPN ダウンロードするよう指示を出します。場合によっては、ユーザーのVPN 。もちろん、これらすべては、ユーザーの疑念を和らげるためです。
残りのプロセスは、雇用主のネットワーク上で行われます。攻撃者は、自身が制御するインフラから、VPN ログインし、すぐに通常のリモートアクセストラフィックに紛れ込むことができます。もしあなたのアカウントがファイル共有、社内管理パネル、チケットシステム、またはクラウドサービスへのアクセス権を持っている場合、攻撃者はこれらのリソースを調査したり悪用したりし始める可能性があります。
偽のVPN を避ける方法
何に注意すべきかがわかった今、あなたはすでに一歩リードしています。安全を確保するための、さらに一般的なヒントをいくつかご紹介します：
- 検索結果だけを鵜呑みにしてはいけません。特にセキュリティソフトウェアに関しては、必ずベンダーの公式サイトに直接アクセスしてください。
- ダウンロードする前に、ドメインを再確認してください。現在、ベンダーのサイトや信頼できるプラットフォームにアクセスしていますか？必要に応じて、IT部門にダウンロードリンクを確認してください。
- VPN 「失敗」した場合は、 IT部門に報告してください。 何度も再試行しないでください 。予期せぬ失敗の後にリダイレクトが発生した場合は、不審な兆候と見なすべきです。
- VPN 、個人のパスワード管理ツールやブラウザに保存しないでください。
信頼できないサイトや見慣れないドメインからVPN インストールしたことがある場合は、VPN 漏洩している可能性があるため、リセットを依頼してください。
私たちはプライバシーについて単に報告するだけでなく、それを活用する選択肢を提供します。
Privacy 出し以上の広がりを見せてはならない。オンラインプライバシーを守るには Malwarebytes Privacy VPNで守ってください。
