人気のPCクリーニングツールCCleanerの偽バージョンが、ウイルス感染に利用されている。 Windows 悪意のあるユーザーChrome GhostDeskと呼ばれる拡張機能で、ブラウザ内部でスパイウェアとして動作する。
世界中で20億回以上ダウンロードされているCCleanerは、最も有名なものの1つです。 Windows 公共事業に利用されているため、マルウェアを配布しようとするサイバー犯罪者にとって魅力的な標的となっている。
攻撃は、CCleanerのダウンロードページを巧妙に模倣したウェブサイトから始まります。インストールされると、偽のアプリケーションが攻撃を開始し、 Chrome悪意のある拡張コンポーネントをインストールし、攻撃者に認証情報の窃盗、スクリーンショットのキャプチャ、キーストロークのログ記録などの機能を与えます。
この偽アプリは、ファイルやシステムのアクティビティが不審に見えないように、PCクリーナーを装っている可能性が高い。
内部的には、マルウェアはCScriptを使用して多段階の感染を開始し、パッチを適用します。 Chromeセキュリティ拡張機能は、コマンド＆コントロール（C2）チャネルを確立し、最終的に悪意のあるプログラムをインストールします。 Chrome GhostDeskとして自身を識別する拡張機能。
テクニカル分析
第一段階：CScriptローダーとインジェクション
我々は最初の感染ベクター、偽物を発見した CCleaner.exe, CCleaner.comの公式ホームページを模倣したウェブサイト上で： ccleanerwind[.]top.
そのページには通常のダウンロードボタンの横にCCleaner Proのダウンロードオプションがあったが、どちらのボタンも同じ悪意のある実行ファイルをダウンロードする仕組みになっていた。
偽物 CCleaner.exe 正規の CCleaner アプリケーションと同じアイコンとファイル名を使用していますが、異常なバージョン情報が含まれています。内部名 (svc_it7p）と元のファイル名（rt_mxk.exe) は既知の CCleaner リリースとは一致しません。また、このバージョン命名パターンに従う他のファイルも見つかりました (svc_<4 random characters> そして rt_<3 random characters>.exe）この感染連鎖を引き起こすもの。
実行ファイルは最初にCScriptの正当なインスタンスをドロップします（cscript.exe) は、それを使用して、次の処理を行う一連のスクリプトを起動します。
- システム偵察：レジストリからマシンのGUID、名前、およびサポートされている言語を照会します。
- 乗っ取られたランタイムブローカー: 手紙を書く
%AppData%\Microsoft\DriverStore\runtimebroker.dll, それを、追加のマルウェア用の反射型ローダーに置き換える。 - Chrome セキュリティ拡張パッチ： パッチChrome セキュリティ拡張機能
manifest.jsonサービス業従事者を含める（background.js）とコンテンツスクリプト（content.jsこれらのJavaScriptファイルは、%LocalAppData%\cseフォルダ。 - C2接続： ローカルWebSocketエンドポイントを作成します
192.168.100.4:49727そして、このエンドポイントをパブリックドメイン/ポートに接続するようにアップグレードします。liderongrade.duckdns[.]org:4444接続が確立されると、トークンを含むGETリクエストを送信し、その後、攻撃者のサーバーから定期的にキープアライブパケットを受信します。
第二段階：悪意Chrome 拡大
CScriptによって書かれた2つのJavaScriptファイル、 content.js そして background.js最終ペイロードとして機能します。パッチが適用されたためChrome セキュリティ拡張機能（CSE）マニフェスト、 background.js バックグラウンドで静かに実行されるChrome 開始する一方 content.js メイン拡張機能として実行されます。
2 つのスクリプトは異なるスパイウェア機能を実行するが、相互に依存しており、双方向通信を維持している。 chrome.runtime.sendMessage そして chrome.runtime.onMessage.addListener.
content.js 以下の処理を実行します。
- キーロギング: 入力フィールドに入力されたキーストロークを記録し、バッファに送信します。2秒間操作がない場合、またはユーザーがフィールドを切り替えると、バッファの内容が送信されます。
background.js取り扱いのため。 - フォームベースの認証情報収集： このスクリプトは、送信POSTリクエストと送信イベントを監視し、中間者として動作して送信されたデータをキャプチャします。これらのフォームを監視し、認証情報、認証トークン、および財務情報に関連する特定のキーワードを検出します。これらのキーワードのいずれかが見つかった場合、フォームの内容を次の宛先に送信します。
background.js取り扱いのため。 - クリプトジャッキング：このスクリプトはクリップボードの貼り付けイベントを監視し、暗号通貨の文字列への参照を探します。参照が検出されると、貼り付けられた結果を事前に定義された値に置き換えます。
- スクリプト挿入: 特定の URL パターンを持つページの場合、
<script>要素はウェブページに動的に挿入され、特定の要素は置き換えられます。
その間、 background.js 機能に関連する文字列（暗号通貨アドレス、JSインジェクションルール、フォームキャプチャとキーロギングの切り替えなど）を認識するために使用される構成データを保存し、以下の処理を実行します。
- WebSocket ベースのデータ漏洩: スクリプトはローカルの WebSocket リレーを開きます
127.0.0.1:7345/extデータとコマンドの送受信を行います。接続が切断された場合、リレーを再確立する永続性機能を備えています。 Chrome 起動するか、拡張機能がインストールされます。 - クッキーの盗難： スクリプトは
chrome.cookies.getAllユーザーのブラウザのクッキーを取得し、WebSocketリレーに送信する。 - 画面キャプチャ： について
captureTabこの関数は、アクティブなブラウザタブのスクリーンショットをWebSocketリレーに送信します。 - 任意のコード実行： について
injectJS関数はchrome.scripting.executeScriptアクティブなブラウザタブで任意のJavaScriptコードを実行する。
これらの拡張機能は「GhostDesk」という名前を名乗っていますが、これはAIエージェントがユーザーの画面をキャプチャして操作できるようにする正規のオーバーレイソフトウェアの名前でもあります。この名前の選択は、画面キャプチャ機能を隠蔽するのに役立つかもしれませんが、これらの拡張機能は他の悪質な動作を隠そうとはしていません。
安全に過ごすには
多くのトロイの木馬と同様に、この攻撃キャンペーンは人気アプリの評判を利用し、本物そっくりのウェブサイトを通じてマルウェアを配布します。しかし、プロ仕様のダウンロードページだからといって、そのサイトが正規のものであると証明できるわけではありません。
リスクを軽減するためのヒントをいくつかご紹介します。
- ソフトウェアをダウンロードする前に、ウェブアドレスを注意深く確認してください。スポンサー付きの検索結果は必ずしも信頼できるとは限らず、サイバー犯罪者に悪用される可能性があります。ソーシャルメディア、SMS、メールなどで見かけるソフトウェアダウンロードへのリンクは、すべて慎重に扱ってください。
- 可能であれば、Microsoft StoreやGoogle Playストア、または発行元の公式サイトなど、信頼できる情報源を通じてダウンロードリンクを確認してください。
- 最新のリアルタイムマルウェア対策ソリューションとウェブ保護機能を活用してください。 Malwarebytes このような安全でないサイトへの接続をブロックし、ここでTrojan.Dropperとして説明されている偽の CCleaner インストーラーを検出します。
- オペレーティングシステム、ブラウザ、セキュリティソフトを常に最新の状態に保ってください。
侵害の兆候（IOC）
- ドメイン：
ccleanerwind[.]top— 偽のCCleanerダウンロードサイト - ドメイン：
liderongrade.duckdns[.]org— 指揮統制サーバー（C2） - IPだ：
193.169.240[.]81— 指揮統制サーバー（C2） - SHA256:
c0b4a4af8a3a8c4b113d7f203fcf480cfac79160102490daf287748634b9ce23- 偽物CCleaner.exe - SHA256:
8d921bdd1f5bc8c03209a5dfacfd9ed313497ac2e3f1b4a2000f4c474a464904— 反射式ローダーの交換runtimebroker.dll - SHA256:
3d7411e2e445a2210dbbf061f3e8e3dd3476a4fc5d4a2135dcceb0bc705776bf—content.jsGhostDesk拡張機能 - SHA256:
cfd9c0bcc89ebc68aae889b9b49bc8290c3764bce5f2c9ac8b5ba0ba58e9bf61—background.jsGhostDesk拡張機能
その他の感染媒介生物
このキャンペーンを追跡調査する中で、同様の動作をする他の偽アプリが多数発見されました。以下のプログラムは、同じCScriptの読み込み方法を用いてスパイウェアを配信します。
590b04e35fc0b3dcd9dabe82f2e96d4d1e0fccc598911cf80f8255232ee75fcb— 偽の7-ZipEcde892dbc28af620ba8e311fa9dd4c66521c7fe95e6aadacc7cd9a5bb57d32d— 偽のAdobe AcrobatCfa3900cefb447d89a7498224f2ecafa65b190336934811e6c1d4196d9b92452— 偽のAdobe Acrobat
これらのサンプルはすべて同じC2サーバーに接続します。 liderongrade.duckdns[.]org.
また、Adobe Acrobat の偽サンプルをもう一つ特定しました。 wscript.exe の代わりに cscript.exeそのSHA256ハッシュ値は以下のとおりです。
0bf8f52b28291edc505a64962e6ce04387a9784fc5b18aeff53629adb1f72f56
