Extension Trojan Malware

大規模なマルウェア キャンペーンが検出されました。このキャンペーンは、人気のソフトウェアを装った偽の Web サイトから配布されるトロイの木馬を通じて、偽の Google Chrome および Microsoft Edge 拡張機能をインストールすることでユーザーをターゲットにします。このトロイの木馬は、検索をハイジャックする基本的なアドウェア拡張機能から、個人データを収集してさまざまなコマンドを実行するように設計されたローカル拡張機能をインストールする、より高度で危険なスクリプトまで、さまざまなペイロードを展開します。2021 年から活動しているこのトロイの木馬は、オンライン ゲームやビデオのアドオンを提供する偽のダウンロード Web サイトから発信されています。

影響を受けるユーザー数十万人

このマルウェアとそれに関連する拡張機能は、Google Chrome と Microsoft Edge の 30 万人以上のユーザーに影響を与えており、脅威の広範囲にわたる性質を実証しています。

このキャンペーンの中心となるのは、マルバタイジングを使用して、Roblox FPS Unlocker、YouTube、VLC メディア プレーヤー、Steam、KeePass などのよく知られたソフトウェアを模倣した偽の Web サイトにユーザーを誘導することです。これらのサイトは、これらのプログラムを検索しているユーザーを騙してトロイの木馬をダウンロードさせ、不正なブラウザー拡張機能をインストールします。

デジタル署名された破損したインストーラーは、PowerShell スクリプトをトリガーするスケジュールされたタスクを設定します。このスクリプトは、リモート サーバーから次の段階のペイロードをダウンロードして実行する役割を担っています。

攻撃者は侵入したデバイスに新しいブラウザをインストールする

これには、Windows レジストリを変更して Chrome ウェブ ストアと Microsoft Edge アドオンからの拡張機能を強制的に挿入することが含まれます。これにより、Google と Microsoft Bing の検索クエリが乗っ取られ、攻撃者が管理するサーバーにリダイレクトされる可能性があります。

この拡張機能は、開発者モードが有効になっている場合でも削除できないように設計されています。スクリプトの最新バージョンでは、ブラウザの更新も無効になっています。さらに、コマンド アンド コントロール (C2) サーバーから直接ダウンロードされたローカル拡張機能を展開します。この拡張機能には、すべての Web リクエストを傍受してサーバーに中継し、コマンドと暗号化されたスクリプトを実行し、すべての Web ページにスクリプトを挿入する広範な機能が備わっています。

さらに、Ask.com、Bing、Google からの検索クエリを乗っ取り、他の検索エンジンに渡す前に自社のサーバー経由で再ルーティングします。

影響を受けるユーザーは行動を起こす必要があります

マルウェア攻撃の影響を受けたユーザーは、問題を軽減するために次の手順を実行する必要があります。

• マルウェアを毎日再アクティブ化するスケジュールされたタスクを削除します。
• 関連するレジストリ キーを削除します。
• システムから次のファイルとフォルダを削除します。

C:\Windows\system32\プライバシーブロッカーwindows.ps1

C:\Windows\system32\Windowsupdater1.ps1

C:\Windows\system32\WindowsUpdater1Script.ps1

C:\Windows\system32\Optimizerwindows.ps1

C:\Windows\system32\Printworkflowservice.ps1

C:\Windows\system32\NvWinSearchOptimizer.ps1 (2024 バージョン)

C:\Windows\system32\kondserp_optimizer.ps1 (2024 年 5 月バージョン)

C:\Windows\内部カーネルグリッド

C:\Windows\内部カーネルグリッド3

C:\Windows\内部カーネルグリッド4

C:\Windows\ShellServiceLog

C:\windows\プライバシー保護ログ

C:\Windows\NvOptimizerLog

この種の攻撃は前例がないわけではありません。2023年12月には、トレントを通じて配布されたトロイの木馬インストーラーを含む同様のキャンペーンが報告されました。このインストーラーはVPNアプリを装っていましたが、実際には「キャッシュバックアクティビティハック」を実行するように設計されていました。