CNNのホームページとほぼ同じように作られたウェブサイトが、訪問者に対し「新しいCNNアプリ」をダウンロードするよう促している。しかし、これはCNNのアプリではなく、CNNとは一切関係がない。
このキャンペーンはCNNだけに留まらない。同様に巧妙な偽サイトにホストされた偽のStremioおよびAvastインストーラーも使用し、すべてはWindows ユーザー。これらのインストーラーは、攻撃者のアカウントに既にリンクされている正規のリモート管理ソフトウェアをインストールさせるように人々を騙すための同じキャンペーンの一環です。
被害者は、本来ダウンロードしようとしていたソフトウェアではなく、O&O Syspectrという、ITチームがコンピュータ管理に使用する正規のデジタル署名付きリモート管理ツールをインストールさせられてしまう。悪意のある者がこのツールを使うと、攻撃者は被害者のPCにリモートアクセスし、コマンドを実行したり、追加のソフトウェアをインストールしたり、ファイルやデータを探索したりすることが可能になる。CNN、Avast、Stremioの誘い文句はすべて、同じSyspectrアカウントに繋がっている。
別の類似サイトは、信頼できるブランドの代わりに偽の仮想通貨マイニングブラウザゲームを使用していますが、別のSystectrアカウントから同じソフトウェアを配信しています。
私たちが発見したこと、なぜあなたのウイルス対策ソフトがそれを阻止する理由がないのか、そして毎回それを検知できたであろうたった10秒のチェック方法をご紹介します。
偽のCNNページはこんな感じです
このサイトはCNNの実際のホームページをそっくりそのままコピーしているため、ほとんどの人は見分けがつかないだろう。最新の見出し、同じレイアウト、そして実際の記事には赤い「ライブアップデート」タグまで付いている。するとすぐにポップアップが表示され、「新しいCNNアプリで最新ニュースをいち早く入手しよう ― ライブ配信で無料」というメッセージと、その下に赤いダウンロードボタンが表示される。
そのボタンの背後にあるファイルの名前は CNN_App.setupad4693fd-d903-4791-8f58-975261c93ca2.exe—これは、ファイル名に埋め込まれたアカウントIDに至るまで、他の場所では異なるブランド名で表示されるのと同じSystectrインストーラーです。
同じ手口で、他のブランドになりすます。
類似サイト avast-premium[.]shop Avastの実際のダウンロードページを忠実に模倣しており、ロゴ、レビュー評価、および「Avast One」の青い「無料ダウンロード」ボタンも含まれています。その背後にあるファイルは、 AVAST_App.setup4693fd-d903-4791-8f58-975261c93ca2.exe.
別の悪質なサイト、 stremiotv[.]onlineは、正規のメディアセンターアプリであるStremioをコピーしています。訪問者にダウンロードを促すファイルは、 Stremio_App.setup4693fd-d903-4791-8f58-975261c93ca2.exe.
どちらも、CNNインストーラーに記載されているものと同じアカウントIDを持っています。
攻撃者は、信頼できるブランドになりすますことで、訪問者を騙して正規のO&O Systectrリモートアクセスツールをインストールさせ、被害者のコンピュータへのリモートアクセス権限を取得する。
いつもとは違う種類の餌
しかし、すべてのルアーが信頼できるブランドである必要はない。
syncminer[.]xyz 代わりに独自の仕掛けを考案した。それは、ゆっくりと減っていく暗号通貨の残高を表示する「アイドルマイナー」ブラウザゲームで、「マイナープラグインをダウンロード」ボタンをクリックすると、より速い支払いが約束される。同じサイトは、 idleminer[.]pro レイアウトもゲームもダウンロード内容も同じです。
どちらも同じファイルを配布し、 oo-syspectr-setup9158bf2a-ff25-4290-b96c-2dc5eb310391.exe 独自のアカウントIDを持っており、CNN、Avast、Stremioの誘い文句とは異なる。
これはマルウェアではないため、アンチウイルスソフトが見逃す可能性があります。
これらのファイルはすべて、ドイツの正規企業であるO&O Software GmbHが発行した、デジタル署名付きの正規ソフトウェアです。SyspectrはIT部門向けに販売されており、インストールされたマシン上でオペレーターにリモートデスクトップ制御機能と管理者レベルのコマンドライン機能を提供します。
そのため、ウイルス対策ソフトでは阻止できない可能性があります。ウイルス対策ソフトは悪意のあるソフトウェアを検出するように設計されており、正規に署名されたビジネスツールがコンピュータにインストールされた経緯だけで警告を発するようには設計されていません。攻撃者は、被害者に、すでに攻撃者のアカウントにリンクされている正規のリモート管理ツールをインストールさせるだけで済むのです。
10秒でわかるチェック
の上Windowsこのようなインストーラーを右クリックし、 「プロパティ」を選択して、 「詳細」タブを開きます。ファイルの説明と製品名の2つのフィールドには、調査したすべてのインストーラーがO&O Systectrとして識別され、O&O Software GmbHの著作権表示も表示されます。
ファイル名はファイルを配布する人なら誰でも変更できますが、埋め込まれた詳細情報は署名済みのソフトウェア自体から取得されます。これらを変更するとデジタル署名が無効になるため、インストーラーの正体が明らかになります。
これらが関連していることをどうやって知るのか
Syspectrのインストーラーにはすべて、作成者のアカウントIDがファイル名に直接埋め込まれています。CNN、Avast、Stremioのブランド名が付いたファイルはすべて全く同じアカウントIDを使用しており、これらが単一のSyspectrアカウントから作成され、異なる誘い文句に合わせて単にデザインが変更されただけであることを示しています。
偽の仮想通貨マイニングゲームを通じて配布されたSyspectrインストーラーには異なるアカウントIDが付与されており、これは同じ手口を使用する別のオペレーターが存在するか、あるいは同じグループが別のアカウントで活動していることを示唆している。
このツールで実際にできること
Systectrは、IT管理者がコンピュータをリモートで管理できるように設計されています。契約プランによっては、システム情報の表示、実行中のプロセスやサービスの監視、Microsoft Defenderの管理、USBデバイスの制限などが可能です。
有料プランでは、攻撃者にとって最も重要な機能が追加されます。オペレーターは被害者のコンピュータをリモートで制御し、ファイルを参照し、コマンドを実行し、追加のソフトウェアをインストールし、まるで目の前に座っているかのようにシステムに変更を加えることができます。上位プランでは、多数のデバイスを管理するためのツールが追加され、互換性のあるハードウェアでは、リモートアクセスも可能になります。 Windows 起動しない。
これらのリモートコントロール機能は、無料の Systectr アカウントでは利用できません。 Premium サブスクリプション以上のプラン。
O&Oソフトウェアの回答
O&Oは迅速に対応した。数日のうちに、同社は無料のSystectrアカウントでのリモートデスクトップとリモートコンソールへのアクセスを無効にし、両方とも有料プランのみに制限した。
O&Oはその後、不正利用アカウントを特定して停止し、新規デバイスの追加もブロックしました。O&Oの分析によると、攻撃者はリモートデスクトップではなく、リモートコンソールのみを利用していました。同社は今後もこのパターンを継続的に監視し、必要に応じて制限をさらに強化していくとしています。
これは的確な対応であり、O&Oは不正利用の実態をしっかりと把握していることが明らかです。ソフトウェアが悪用された際に、これほど迅速かつ効果的に対応できるベンダーはそう多くはありません。
身を守る方法
- ソフトウェアは必ずベンダーの公式サイトからダウンロードしてください。検索結果や広告は、巧妙な偽物につながる可能性があります。
- 不明なインストーラーを実行する前に、 Windows それを右クリックして「プロパティ」＞「詳細」を開き、 「ファイルの説明」と「製品名」のフィールドを確認してください。
- O&O Systectrがインストールされているのに自分でセットアップしていない場合は、設定 > アプリからアンインストールし、完全なウイルススキャンを実行してください。
- 最近このようなインストーラーを実行した場合は、その後、クリーンなマシンからそのマシン上でアクセスしたすべてのパスワードを変更してください。
- オンライン閲覧時の安全を確保しましょう。Malwarebytes Browser Guard Malwarebytes既知の詐欺サイトや類似サイトにアクセスする前にブロックします。
覚えておいてください
偽のダウンロードサイトは必ずしもマルウェアを配信するとは限りません。時には、正規のソフトウェアを配信しているにもかかわらず、配布者によって悪用されている場合もあります。そのため、ソフトウェアは正規のベンダーからダウンロードすることが重要であり、何かおかしいと感じた場合は、実行する前にインストーラーが実際には何であるかを確認する必要があります。
妥協の指標（IOCs）
アカウントID 4693fd-d903-4791-8f58-975261c93ca2:
app.cnn-news[.]net→CNN_App.setupad4693fd-d903-4791-8f58-975261c93ca2.exeavast-premium[.]shop→AVAST_App.setup4693fd-d903-4791-8f58-975261c93ca2.exestremiotv[.]online→Stremio_App.setup4693fd-d903-4791-8f58-975261c93ca2.exe
アカウントID 9158bf2a-ff25-4290-b96c-2dc5eb310391:
syncminer[.]xyz→oo-syspectr-setup9158bf2a-ff25-4290-b96c-2dc5eb310391.exeidleminer[.]pro→oo-syspectr-setup9158bf2a-ff25-4290-b96c-2dc5eb310391.exe
被害が及ぶ前に脅威を阻止しましょう。
Malwarebytes Browser Guard 、フィッシングページや悪意のあるサイトを自動的にBrowser Guard 。無料で、ワンクリックでインストールできます。ブラウザに追加する →
