Steamのフォーラムにて、「マルウェア感染に仕向ける」悪質メッセージ多発中。“親切アドバイスのフリ”をした誘導手口

Steamのフォーラム上で、ユーザーを騙してマルウェアに感染させる手口が横行しているという。セキュリティ情報サイトBleepingComputerが報じている。

今回伝えられているのは、問題の解決手順を装った画面などを用意してユーザーに操作を促し、マルウェアに感染させる、いわゆるClickFixに相当する手口だ。特徴的なのは攻撃者がSteamにて多数のアカウントを用いてフォーラム上で活動している点であり、ゲームのクラッシュや不具合といった技術的な問題を報告するユーザーに対して、解決策を教えているかのように返信。PowerShellを管理者権限で立ち上げさせ、所定のコマンドを実行させることで、秘密裏に起動し暗号通貨をマイニングするマルウェアをPCに感染させる手口だという。

BleepingComputerによると、攻撃者が広めているPowerShellスクリプトは「msf utility \ PC Opt」という名前であり、Windows最適化ユーティリティソフトを装っているとのこと。起動すると、一時ファイルの削除やドライバーの更新、ディスクの確認やマルウェアのスキャンといった、さまざまなメンテナンス作業をおこなっているとのメッセージを表示するような偽装がほどこされているという。

しかしそうしたメッセージに記載された作業の大半は実際にはおこなわれず、実際には「Advanced-Optimization」という関数に隠された悪意のある処理が実行される。具体的には、スクリプトが管理者権限で実行されると、「C:\Windows\Background」ディレクトリが作成されてMicrosoft Defenderのスキャン対象外に追加。そして外部サイトから、暗号通貨を勝手にマイニングするためのプログラムが「system.txt」というファイル名でダウンロードされる。

その後、このファイルがBackgroundディレクトリ内に「system.exe」として配置されるとともに、「XMRig-[コンピューター名]」というスケジュールされたタスクが作成される。これによってWindowsの起動時にSYSTEM権限で「system.exe」が実行され、感染したPCの処理能力を使って、秘密裏に暗号通貨のマイニングがおこなわれるようになるという流れだ。

攻撃者は多数のSteamアカウントを用いて多岐にわたるゲームのフォーラム上に同様の書き込みを行っており、こうした攻撃についてさっそくユーザー間でも注意喚起が広がっている。「管理者権限でコマンドを実行する」という時点で慎重を期すべき操作ではあるものの、手口が有名になる前に大量の書き込みをおこなうことで、そうした知識のない一部ユーザーを騙す手口なのだろう。

BleepingComputerは感染の疑いがある場合には、ウイルス対策ソフトでマルウェアをスキャンし、検出されたものをすべて削除することを推奨している。またウイルス対策ソフトで暗号通貨をマイニングしているプログラムを検出できなかった場合は、「XMRig-[コンピューター名]」というスケジュールされたタスクを手動で停止・削除し、「C:\Windows\Background」に対するMicrosoft Defenderの除外設定を解除したうえで、同フォルダと中身を削除すべきだと説明。また暗号通貨のマイニング以外に悪意のある操作がおこなわれた可能性もゼロではないため、OSの再インストールをおこなうのも視野に入れるべきだという。

Steamのフォーラムは、ユーザー間でさまざまな情報交換がおこなわれるコミュニティとなっている。不具合報告に対し、ユーザーが応急処置として解消方法を共有し合う様子もしばしばみられる。今回報告されたのはそうした文化を悪用する手口といえる。不正に入手されたSteamアカウントが用いられている可能性も指摘されており、運営側にはアカウント不正利用の対策強化も求められるところだろう。利用者側でできる対策としては、ユーザー由来の不具合解消方法について安易に実行せず、その内容や懸念点を慎重に見極める必要がありそうだ。