SNSを通じたマルウェアの流布

本レポートは、アンラボコリアより発表された内容を翻訳したものです。

----------------------------------------------------------------------------------------------

世界最大のソーシャルネットワークサービス (SNS) 1位企業のユーザー数は約１３億人である。このSNSは、 PCやスマートデバイスを利用してインターネット上で友達、同僚、知人との人脈の強化や、新しい人脈を作ることができるネットワークであり、ユーザーが作成した情報を素早く広めたり、他人の情報を容易に共有することができる。 
 

ユーザーが掲示物を掲載すると、友達として登録されている知人にその内容が共有される。知人が当該掲示物をスクラップしたり「いいね！」のクリックまたは書き込みをすることで知人の友達にまでその掲示物が共有される。このように、SNS内で「私」と不特定多数は常に繋がっており、共有される情報は素早く広まる。 
 

最近、このSNSを通じて流布されたマルウェアはSNSが持つ強力な情報拡散機能を利用した。 
 

Youtubeを装って作成したアダルト動画のリンクが張られた掲示物をユーザーがクリックすると、マルウェア作成者は動画の再生のための偽Flash Playerをダウンロードするように誘導する。ユーザーが偽Flash Playerをダウンロードおよびインストールすると、ユーザーPCはマルウェアに感染する。
 

アップデートファイルに偽装したマルウェアは、<C:WDocuments and Settings\[ユーザーアカウント]\Application Data\>パスに「Chromun.exe」を自ら複製する。
 

複製されたマルウェア「Chromum.exe」は、外部のC&Cサーバーと通信し、サーバーで追加ダウンロードするファイルのハッシュ(hash)値を検査する。その後、<C:\Documnets and Settings\[ユーザーアカウント]\Application Data>パスに「wget.exe」を利用して同様のパス内に「arsiv.exe」ファイルをダウンロードする。

[図 1] ネットワークモニター情報
 
 

追加でダウンロードされた「arsiv.exe」ファイルは、<C:\Documents and Settings\[ユーザーアカウント]\Application Data\browser\[バージョン情報]>パス内にGoogle Chromeに関連のある多数の.pak 圧縮ファイルをコピーする。
 
マルウェア「Chromium.exe」は、<C:\Documents and Settings\[ユーザーアカウント]\Application Data\Google\Chrome\User\Default\Extensions>パス内に悪性スクリプトを生成する。 
 

[図 2] Chrome拡張機能で挿入された悪性スクリプト
 
 
 

Chromium.exeは、[図 3]のように、AutoHotkeyを利用してユーザーPCのキーボードとマウスをフッキング (Hooking)する。フッキングはキーボードとマウスの動作を横取りする行為であり、ユーザーがInternet Explorerを起動した際に強制終了させた後、改ざんされたChromeを起動する。 

 [図 3] AutoHotkeyを利用したキーボードとマウスフッキング
 
 

ユーザーが改ざんされたChromeを起動すると、拡張プログラムで挿入された悪性スクリプトにより特定のアドレスの接続遮断およびC&CサーバーへのHTTP GET要求をする。遮断されるアドレスは[図 4]のように、大半がアンチウイルス会社のサイトアドレスであり、SNSの一部ページも遮断している。

[図 4] スクリプトにより遮断されるアドレス一覧

ユーザーがChromeを起動する間に特定のページ(http://www.f*****r.com/a**/user.php)にGET要求を送信し、ユーザーがSNSに接続するとユーザーのSNS友達をアダルト動画掲示物にタグする。

 [図 5] SNSユーザーの友達を掲示物にタグするスクリプト
 

悪性掲示物にタグされたユーザーの友達がアダルト動画を再生するとマルウェアに感染し、他のSNS友達にもマルウェアが急速に広まる。
 
当該マルウェアは、２日間で１１万人を感染させ、SNS会社は当該マルウェアに対する対応を行った。情報共有機能を利用して急速に拡散されるマルウェアは、この会社だけの問題ではない。SNSの他にもリスクは存在する。同様の方法もしくはより知能化された方法によりユーザーPCがマルウェア配布元として利用される可能性があるため、注意が必要である。 
 

マルウェア作成者は短時間でマルウェアの流布が可能な媒体を探しており、この要件を充足させる環境を提供するのがSNSであることをユーザーは認識しなければならない。 
 

また、SNS上で不明確または疑わしいリンクを直接クリックしなくてもSNSを通じてマルウェアの挿入が行われているため、ユーザーはPC、スマートデバイスの　ソフトウェアを常に最新バージョンにアップデートしなければならない。