広く信頼されているユーティリティが、それに依存する人々に対して悪用されています。Cybersecurity Newsの報告によると、攻撃者は偽の7-Zipインストーラーの中にOpenSUpdaterマルウェアを隠し、インストール実行中にリモートサーバーへ通信する隠蔽されたローダーを使用しています。このトロイの木馬化された7-Zipインストーラーマルウェアキャンペーンは、ダウンロードするファイルが、手に入れると思っているプログラムと同じくらい重要であることを思い出させてくれます。

公開されている詳細は限られているため、この記事では報告された内容に留め、実行できる実践的な対策に焦点を当てます。

偽の7-ZipインストーラーがOpenSUpdaterを配布する仕組み

報告されている手法は、概念としては単純です。攻撃者は、マルウェアファミリーであるOpenSUpdaterを、7-Zipを装うインストーラーの中にパッケージ化します。それらのインストーラーの中には、隠されたローダーが存在します。セットアップ中に、そのローダーがリモートサーバーへ通信し、この段階で追加の悪意ある活動が始まる可能性があります。

これが重要である理由は、ユーザーの視点からはインストーラーが正常に見え、正常に動作する可能性があるからです。セットアップウィンドウが表示され、進行状況が進み、被害者には通常のソフトウェアインストールのように見えます。疑わしいネットワーク通信は、目に見えないところでバックグラウンドで行われます。

7-Zipが選ばれたのは偶然ではありません。これは人気のある無料のファイルアーカイバであり、人々が頻繁に検索するため、都合の良い偽装となります。攻撃者は、多くのユーザーが公式プロジェクトサイトに直接アクセスするのではなく、ソフトウェア名を検索して有望に見える結果をクリックするという事実に依存しています。

元記事は、トロイの木馬化されたインストーラーがどのように配布されているかについては言及していないため、ここでは推測しません。

トロイの木馬化されたソフトウェアインストーラーを見分ける方法

単一のチェックで完全に防げるものはありませんが、いくつかの習慣によってリスクをかなり減らすことができます。

  • ファイルの入手元を確認する。 広告、検証していない検索結果、フォーラムのリンク、第三者ミラーを通じてダウンロードに至った場合は、疑ってかかりましょう。そっくりなドメインはよくある手口なので、アドレスを注意深く読みましょう。
  • セットアップ中の予期しない動作に注意する。 単純なアーカイバは、ファイルのコピーとショートカットの作成以上のことをする必要はほとんどありません。説明のつかないネットワーク活動、余分なプロンプト、追加のプログラムの出現は警告サインです。
  • ファイルの詳細を比較する。 公式プロジェクトはしばしばバージョン番号やチェックサムを公開しています。サイズ、バージョン、ハッシュが公式サイトに記載されているものと一致しない場合は、そのファイルを実行しないでください。
  • セキュリティ警告に注意を払う。 アンチウイルスやWindowsの内蔵保護機能がインストーラーを警告した場合は、アラートを無視するのではなく、立ち止まって調査しましょう。新しいリリースが誤って警告されることもあるため、結論を出す前に公式ソースで確認することを忘れないでください。
  • デジタル署名を確認する。 Windowsでは、インストーラーを右クリックし、プロパティを開き、デジタル署名タブを確認できます。署名されるべきソフトウェアに署名がない、または見慣れない署名者がいる場合は、疑問を持つ価値があります。

より広い論点は、トロイの木馬化されたインストーラーはソフトウェアの欠陥ではなく信頼を悪用するということです。このパターンは非常に異なる脅威にも現れます。米国、英国、オランダの機関が警告したイランのTelegramスパイウェアに関する当社の報道は、人々がすでに使用し安全だと信じているものに見えることで、悪意あるソフトウェアが成功する可能性があることを示しています。

VPNが役立つ場合とそうでない場合

VPNはほぼすべてのプライバシーに関する会話で取り上げられるため、ここでの役割を正確に述べる価値があります。

VPNはデバイスとVPNサーバー間のトラフィックを暗号化し、訪問するサイトからIPアドレスを隠します。これは公共Wi-Fi上や一部の種類のトラッキングを制限するのに役立ちます。しかし、ダウンロードするファイルを検査するものではなく、インストーラーが本物かどうかを知ることもできません。

悪意ある7-ZipインストーラーをVPN経由でダウンロードしても、依然として悪意あるインストーラーです。それがWindowsマシン上で実行されると、隠されたローダーは依然としてリモートサーバーに通信できます。その接続は他のトラフィックと同様にVPNトンネルを通るだけだからです。一部のセキュリティスイートには悪意あるサイトのブロックなどの保護機能が同梱されていますが、それはVPNが提供する中核的なプライバシーサービスとは別の機能であり、当然のことと考えてはいけません。

VPNは限られた一つの層と考えてください。転送中のデータとある程度のプライバシーを保護しますが、慎重なダウンロード、エンドポイント保護、システム更新の代わりにはなりません。

Windowsソフトウェアをより安全にダウンロード・検証する方法

いくつかの習慣によって、この種の攻撃をあなたに対して成功させることははるかに難しくなります。

  1. 公式プロジェクトサイトに直接アクセスする。 検索結果や広告に頼るのではなく、アドレスを自分で入力するか、信頼できるソースから作成したブックマークを使用しましょう。
  2. 実行前に検証する。 プロジェクトがチェックサムや署名を公開している場合は、ダウンロードしたファイルと比較しましょう。
  3. パッケージマネージャーを検討する。 wingetなどのツールは厳選されたリポジトリからソフトウェアをインストールでき、そっくりなサイトへの露出を減らします。
  4. エンドポイント保護を有効かつ最新の状態に保つ。 リアルタイムスキャンは既知の悪意あるインストーラーを実行前に検出できます。
  5. 日常業務には標準アカウントを使用する。 管理者の承認を必要とするインストーラーは、その要求が妥当かどうかを自問する瞬間を与えてくれます。
  6. 見慣れないファイルはまずスキャンする。 不明な場合は、開く前に信頼できるマルチエンジンスキャナーでインストーラーをチェックしましょう。

あなたにとっての意味

7-Zipを使用している場合、パニックになる必要はありませんが、そのコピーをどのように入手したかを確認すべきです。公式プロジェクトサイト以外からダウンロードした場合は、削除を検討し、完全なセキュリティスキャンを実行し、正規のソースから再インストールしてください。インストール後に異常なネットワーク活動、見慣れないプロセス、セキュリティアラートに気づいた場合は、そのデバイスが侵害されている可能性があるとして扱い、クリーンなデバイスから重要なパスワードを変更することを検討してください。

組織にとっては、スタッフにユーティリティを自分でダウンロードするのではなく、承認されたチャネルを通じてソフトウェアを要求するよう注意を促す良い機会です。

主なポイント

  • 報告されたトロイの木馬化された7-Zipインストーラーマルウェアキャンペーンは、セットアップ中にリモートサーバーへ通信するローダーを備えた偽インストーラーにOpenSUpdaterを隠しています。
  • ソフトウェアは公式プロジェクトサイトからのみダウンロードし、チェックサムや署名が利用可能な場合はインストーラーを検証しましょう。
  • VPNはトラフィックとIPアドレスを保護しますが、悪意あるインストーラーの実行を止めることはできません。
  • セキュリティツールを最新の状態に保ち、警告を無視せず調査しましょう。

悪意あるソフトウェアがどのように信頼を悪用するかについてさらに理解するには、vpn.socialの国家関連マルウェアキャンペーンに関する報道を読み、まずイランのTelegramスパイウェアに関する共同警告から始めてください。教訓は引き継がれます。まずソースを検証し、VPNを含むあらゆる保護層を答えの一部に過ぎないものとして扱いましょう。