大ヒットゲームがマルウェア配布の手段に

今年最大のゲームリリースの一つと広く評される『メッカ・カメレオン』が、セキュリティ上の懸念の中心となっている。研究者が、同タイトルのコミュニティ製マップに、ハッカーがプレイヤーのPCを完全に制御できるようになるエクスプロイトが含まれていることを発見したのだ。ゲームのコミュニティワークショップを通じて共有・ダウンロードされたこれらのマップには、感染したデバイスを所有者に知られることなく遠隔操作できるマルウェア「リモートアクセス型トロイの木馬（RAT）」が仕込まれていた。

この問題が注目されるのは、RATマルウェアが新しいからではなく、潜在的な被害規模が大きいからだ。『メッカ・カメレオン』が依存するコミュニティコンテンツプラットフォームは、信頼の上に成り立っている。プレイヤーは他のユーザーが作成したマップやMod、カスタムレベルを、コミュニティの評価やダウンロード数以外にはほとんど審査がないままダウンロードする。その信頼が悪用されると、特に今年の『メッカ・カメレオン』のようにメインストリームの注目を集めるゲームでは、影響範囲が膨大になる可能性がある。

ゲームマップ内部でRATエクスプロイトが機能する仕組み

リモートアクセス型トロイの木馬は、一見無害に見せかけながら、密かに被害者のシステムへのバックドアを開くよう設計されている。今回のケースでは、悪意のあるコードはごく普通のコミュニティマップに紛れ込んでいたため、プレイヤーは不審なリンクをクリックしたり、明らかに怪しい実行ファイルをダウンロードしたりする必要はなかった。ゲームのワークショップ機能で不正なマップを読み込むだけで、エクスプロイトが発動してしまったのだ。

いったん有効化されると、RATは攻撃者に被害者の画面表示の閲覧、キー入力の記録、ファイルへのアクセス、ウェブカメラやマイクの起動、さらなるマルウェアのインストールを許し、そのすべてがユーザーに目に見える警告なく行われる。そのためRATは、ランサムウェアのような破壊的なマルウェアに比べて特に危険だ。被害者は、資格情報の窃取、アカウントの不正利用、あるいはマシンが密かに大規模なボットネットに組み込まれるなど、被害が現実のものとなるまで、自分のマシンが侵害されたことに気づかないことが多い。

悪意のあるコードを信頼された日常的なソフトウェアの内部に隠すこの手口は、広範な脅威状況において繰り返し見られるテーマになりつつある。攻撃者は、プラグイン、アップデートの仕組み、あるいは今回のようなユーザー生成のゲームコンテンツなど、「信頼のサプライチェーン」の弱点を狙う傾向を強めており、防御の固い正面玄関を突破しようとはしない。この手法は、国家支援のハッカーがPalo Altoのファイアウォールをゼロデイ脆弱性で攻撃したケースなど、他の最近の侵入事例に見られるインフラレベルの悪用と同じ論理を反映している。信頼された経路を見つければ、あとはそこから侵入できる。

これが単なるゲームの話ではなくプライバシーの話である理由

今回の件をゲーム関連のニュースとして片付けたくなるかもしれないが、RAT感染は根本的にプライバシーとデータセキュリティのインシデントだ。PCが侵害された人は誰でも、個人ファイル、保存されたパスワード、ブラウザのセッションデータ、あるいは決済情報などを、同意した覚えのない第三者にさらされた可能性がある。企業でのデータ侵害では、一つの組織が影響の封じ込めに責任を負うのに対し、RAT感染では、多くの場合、被害が生じた後に、脅威の検出と除去の負担が完全に個人ユーザーにかかってくる。

このような露出のリスクは仮定の話ではない。ノボ ノルディスクの治験データが流出した大規模侵害のように、盗まれたデータが一つの侵害ポイントから悪意ある者の手に渡った後、どれほど急速に大きな危機へと発展するかが示されている。ゲーミングPCに気付かれずに潜むRATは、根本的な問題の小規模版だ。つまり、不正アクセスが、特にパスワードを使い回していたり、ゲーム用と同じマシンに機密情報を保存しているプレイヤーの場合、個人情報の盗難、金融詐欺、あるいはさらなるネットワーク侵害へと雪だるま式に拡大する可能性がある。

ユーザーがとるべき対策

『メッカ・カメレオン』をプレイし、最近コミュニティマップをダウンロードした場合は、安全が確認できるまで、自分のPCが潜在的に危険にさらされていると見なしてほしい。最新のアンチウイルスソフトやアンチマルウェアソフトでフルスキャンを実行し、見慣れないプロセス、不審なネットワーク活動、身に覚えのないプログラムがないか注意深く確認しよう。そのマシンからアクセスしたすべてのアカウント、特にメール、バンキング、ゲームのアカウントのパスワードを変更し、可能な限り二要素認証を有効にすること。

より広く言えば、今回のインシデントは、どれほど人気があり高評価のゲームであっても、ユーザー生成コンテンツには固有のリスクがあることを改めて示している。コミュニティマップ、Mod、アドオンは、コードの安全性が保証されていないサードパーティによって作成されており、プラットフォームのモデレーションがプレイヤーの手に渡る前にすべてを捕捉できるわけではない。公式チャンネルを使う、新しいコンテンツをダウンロードする前にコミュニティによる審査を待つ、OSやセキュリティソフトウェアを最新に保つといったシンプルな習慣が、リスクを有意に減らす。

重要なポイント

  • 『メッカ・カメレオン』のコミュニティマップには、感染したPCをハッカーに完全制御され得るリモートアクセス型トロイの木馬（RAT）が含まれていた。
  • RATは設計上ステルス性が高いため、感染したプレイヤーはすぐに異常に気付かない可能性がある。
  • コミュニティコンテンツを最近ダウンロードした場合は、システムをスキャンし、パスワードを更新し、二要素認証を有効にすること。
  • ユーザー生成のゲームコンテンツは、たとえ人気タイトルのものであっても、未知のソフトウェアダウンロードと同じ注意を払って扱うべきだ。