新しいマルウェアキャンペーンが、ユーザーが慣れ親しんだ名前への信頼を悪用しています。セキュリティ研究者は、偽のCCleanerダウンロードが、感染したWindowsマシンからCookie、保存された認証情報、キーストローク、スクリーンショットを静かに収集するように設計された悪意のあるChrome拡張機能「GhostDesk」をインストールすることを確認しました。このキャンペーンは、攻撃者がダウンロード元を支配している場合、よく知られたユーティリティソフトウェアでさえ武器化され得ることを改めて示しています。

何が起きたのか：偽CCleanerキャンペーン

CCleanerは一時ファイルの削除やWindowsのパフォーマンス最適化に広く使われているツールであり、サイバー犯罪者にとって魅力的な餌になります。今回のケースでは、攻撃者は正規のCCleanerダウンロードに見えるように作られたインストーラー内にGhostDeskを同梱しています。ユーザーがそのファイルを実行すると、マルウェアはバックグラウンドで動作するChrome拡張機能を展開し、オペレーティングシステムだけでなくブラウザ内部に持続的な足場を攻撃者に与えます。

ブラウザを直接標的にすることで、GhostDeskは、Cookieに保存されたログインセッション、ブラウザに保存されたユーザー名とパスワード、さらにはキーストロークやスクリーンショットで捕捉されるリアルタイムの操作など、人がオンラインで生み出す最も機微なデータの一部にアクセスできるようになります。この組み合わせにより、攻撃者はアクティブなセッションを乗っ取ることでパスワード欄を完全に迂回し、時間をかけて被害者のオンライン行動の詳細な全体像を構築できる可能性があります。

GhostDeskがChrome内でどのように動作するか

悪意のあるブラウザ拡張機能が特に効果的なのは、ユーザーがブラウザ内で行うあらゆることに対して高いアクセス権で動作し、従来のデスクトップマルウェアと同じようなアラームを引き起こさないことが多いためです。GhostDeskは一度インストールされると、危険であるために常時コマンドサーバーと通信する必要はありません。その代わり、ユーザーが閲覧、銀行取引、買い物、仕事用アカウントへのログインを行う間に受動的にデータを収集し、その情報を一定間隔で外部に送信できます。

Cookieの窃取は特に深刻です。セッションCookieが盗まれると、攻撃者はパスワードを一切必要とせずにログイン済みユーザーになりすますことができるからです。キーストロークの記録やスクリーンショットの取得と組み合わさることで、GhostDeskは、Webページに直接入力された多要素認証コードを使用するアカウントの認証情報も捕捉できます。マルウェアはコードを別途傍受する必要がなく、入力されるときにそのまま観察できるためです。

ブラウザ拡張機能が増大するプライバシーリスクである理由

今回のインシデントは、オペレーティングシステムではなくブラウザがデータ窃取の主戦場になっているという、より広いパターンに合致します。現在のブラウザは、パスワード、支払い情報、閲覧履歴、そして一度に数十ものサービスのアクティブセッションを保存しており、非常に価値の高い標的となっています。特に拡張機能は、ユーザーが閲覧を「強化」するために広範な権限を与えることに慣れており、その拡張機能が実際にどこから来たのか、バックグラウンドで何をしているのかを必ずしも確認しないため、日常的な注意をすり抜けやすい存在です。

偽CCleanerの事例は、攻撃者が被害者がためらいなくファイルをダウンロードして実行する可能性を高めるために、無名または馴染みのないプログラムではなく、信頼されたソフトウェア名に依存し続けていることも浮き彫りにしています。日常的なソフトウェア配布が検索エンジンの結果やサードパーティのダウンロードサイトへと移行するにつれて、巧妙な偽物に遭遇するリスクは高まっています。これは、攻撃者が正当なテクノロジーエコシステムの周辺に悪意のあるツールを配置するという、より大きな傾向の一部です。これは、国家主体のアクターが自らの戦略的目的のためにオープンソースAI開発のような新興技術へのアクセスを形成し、管理しようとしてきた方法に似ています。

これがあなたに意味すること

最近CCleanerを公式ベンダーサイト以外のソースからダウンロードした場合は、インストール済みのChrome拡張機能に見覚えのないものがないかを確認し、Chromeのタスクマネージャーで認識できないプロセスがないかも確認する価値があります。GhostDeskはCookieと保存された認証情報を標的とするため、感染が疑われる人は、オペレーティングシステムだけでなく、ブラウザに保存されたパスワードやアクティブセッションも侵害された可能性があるものとして扱うべきです。

実際的な教訓はこの1つのキャンペーンにとどまりません。特にPCを「高速化」する、または「クリーンアップ」すると約束するツールのような無料のユーティリティソフトウェアは、手っ取り早い解決策を求めるユーザーに訴求するため、マルウェアの変装として一貫して人気があります。検索広告やサードパーティのアグリゲーターサイトではなく、公式ベンダーのウェブサイトからのみソフトウェアをダウンロードすることが、この種の攻撃を完全に回避する最も簡単な方法の1つであり続けています。

実践的な対策

インストール済みのChrome拡張機能を確認し、身に覚えのないものや意図的にインストールしていないものを削除してください。CCleanerやその他のユーティリティソフトウェアは、検索結果やサードパーティのダウンロードハブではなく、公式の発行元のウェブサイトから直接ダウンロードしてください。ブラウザが侵害された疑いがある場合は、機密性の高いアカウントのパスワードを変更し、ブラウザベースの保存とは別のパスワードマネージャーの使用を検討してください。最近のダウンロードが不審に思えるWindowsマシンでは完全なウイルス対策またはマルウェア対策スキャンを実行し、可能な限り画面に入力するコードではなく認証アプリを使って多要素認証を有効にしてください。偽のインストーラーを通じてGhostDesk Chromeスパイウェアがどのように拡散するかに注意を払うことは、一般ユーザーが利用できる最も効果的な防御策の1つです。