PCでPlayStation 5のゲームをプレイする方法を探しているゲーマーが、エミュレーターのダウンロードを装ったマルウェアの標的になっている。
攻撃者は、AnyPS5やKytyPS5といったPS5エミュレータープロジェクトになりすました、見分けのつきにくいGitHubリポジトリを作成した。ダウンロードされるのは動作するエミュレーションソフトウェアではなく、セキュリティ分析を回避し、情報窃取ペイロードとみられるものを展開するよう設計された多段階の感染プロセスだ。
このキャンペーンは、攻撃者が使い慣れたプロジェクト名と信頼されたソフトウェアホスティングプラットフォームを悪用し、元の開発者を侵害することなく悪意あるファイルを配布できることを浮き彫りにしている。
偽エミュレーターから情報窃取マルウェアへ：攻撃の仕組み
NordVPNの研究者が最初に確認した攻撃をPCMagが報じた。同媒体によると、この脅威は非公式エミュレーターを探している無防備なユーザーを標的にしている。NordVPNはPCMagを通じて、エミュレーターを探すユーザーは非公式ソフトウェアのインストールに慣れているため、今回の標的は特に的確だったと指摘している。
攻撃は、正規のPS5エミュレータープロジェクトになりすましたGitHubリポジトリから、標的がZIPファイルをダウンロードすると始まる。マルウェアはまず、仮想マシンや、セキュリティ研究者が不審なソフトウェアを分析する際によく使う別の環境で実行されているかどうかを確認する。
さらに、RAMが2GB未満のシステム、クラウドベースの環境、物理GPUを搭載していないデバイスも探す。これらの条件のいずれかが検出されると、マルウェアは実行を停止する。
コンピューターがこれらのチェックを通過すると、マルウェアはインストール先のパスをMicrosoft Defenderの除外対象に追加しようとする。これにより、セキュリティソフトウェアがその場所のファイルをスキャンできなくなる可能性がある。
続いてローダーは別の実行ファイルを実行するが、Tom's Hardwareによると、このファイルは商用ソフトウェアパッカーで保護されている。同誌によれば、この実行ファイルは情報窃取マルウェアとみられ、感染したコンピューターから機密情報を収集するよう設計されている。
このマルウェアは被害者を侵害するだけでなく、痕跡を隠そうともするため、感染したデバイス上で分析を行う際の難易度が高くなる。
評判と安全性は別物
オープンソースソフトウェアの信頼できる拠点としてのGitHubの評判は、同プラットフォーム上でホストされているすべてのプロジェクトが安全であることを意味しない。
サイバー犯罪者はこの思い込みを悪用して正規プロジェクトの悪意ある模倣版を作成し、ソフトウェアの公開者を確認する手間をかけず、見慣れたプロジェクト名をユーザーが認識することに乗じている。
この区別が重要なのは、アプリケーションをホストするプラットフォームと、その開発責任を負う開発者は別の存在だからだ。そして、この問題はGitHubに限らない。悪意あるアプリケーションは、Google PlayのセキュリティチェックやChromeウェブストアの拡張機能の審査プロセスもすり抜けている。
AnyPS5はその後ユーザーに警告しており、PCMagによると現在は閉鎖されている悪意あるGitHubページについて、すでに被害に遭っているユーザーもいる。そのうち1人はRedditでこの事案を報告した。こうした事例は、攻撃者がユーザーのこうしたプラットフォームへの信頼を悪用し、元の開発者を必ずしも侵害することなく悪意あるソフトウェアを配布できることを示している。
ゲーマーは予防策を講じるべきだ
今回のキャンペーンはPS5エミュレーターを探している人々を明確に標的としているが、同じ手口は、見慣れないリポジトリからソフトウェアをダウンロードする誰にでも及ぶ可能性がある。
エミュレーターやその他のコミュニティ開発アプリケーションをインストールする前に、ダウンロード元がプロジェクトの公式サイトまたは開発者が管理するGitHubアカウントであることを確認しよう。リポジトリの所有者、リリース履歴、プロジェクトが確立したコミュニケーションチャネルを通じて共有されたリンクを確認することも重要だ。
有名プロジェクトを模倣した、作成されたばかりのリポジトリや、元の開発者からは入手できないダウンロードを提供するリポジトリには注意が必要だ。ウイルス対策機能を無効にしたり、セキュリティ設定を変更したりするよう突然求められた場合も、警告サインだ。
また、過剰な権限を要求したり、セキュリティソフトウェアを無効にしようとしたりするアプリケーションにも注意したい。Windowsとセキュリティソフトウェアを最新の状態に保ち、スキャンを実行することで、感染のリスクを低減できる。
すでに悪意あるファイルをダウンロードして実行してしまった場合、ダウンロードしたファイルを削除するだけでは不十分な可能性がある。影響を受けたコンピューターをインターネットから切断し、完全なセキュリティスキャンを実行して、予期しないDefenderの除外設定を調べよう。また、侵害された可能性のあるパスワードは、別の信頼できるデバイスから変更する必要がある。
その他のニュース：Cathay Pacificがデータ侵害を公表した。第三者テクノロジープロバイダーのAmadeusで発生したこの侵害により、約5万3,000件のフライト予約情報が流出した。