Windows ライセンス認証ツールに偽装したマルウェアに注意

最近、Windows ライセンス認証ツールに偽装したマルウェアが流布されている。

当該マルウェアは Windows ライセンス認証を回避するためのツールを装っているが、実際は、ユーザー PC で仮想通貨を採掘するマルウェアである。

ソフトウェアの正規品を利用することは PC を安全に使用するための基本的なルールであるが、費用の節約などの理由で個人のみならず企業でも複製品を利用することがある。

Windows OS をインストールした際、最初に認証キーを入力しなければならないが、複製品を利用する個人や企業は認証キーを持っていないため、認証を回避できるツールが必要になる。

今回流布されたマルウェアはこのようなユーザーをターゲットにしている。

ユーザーがポータルサイトやコミュニティサイトなどを通じてダウンロードしたファイル (KMSPico10.2.1.exe) は、[図 1] のように悪性行為をするバッチファイル (KMSPICO_SETUP.bat) を生成する。

生成されたバッチファイルは、ライセンス認証ファイル (KMSPicoActivator.exe) を実行させ、ツールが正常に動作しているように見せかけてユーザーを騙した後、レジストリに登録するファイル (Registry_Activation.exe) と採掘マルウェア (Activation.exe) を実行させる。 

[図 1] Windows ライセンス認証ツールに偽装したマルウェアの実行過程

攻撃者は、インストールとパッチが正常に行われていると思わせるため、「47%」、「78%」 のような進行率を表示している。(※[図 2] を参照）

[図 2] バッチファイルの内部

上記マルウェアに感染しないためには、以下のような対策を実施する必要がある。

・ メーカーホームページから正規品のソフトウェアをダウンロードする。

・ インターネットからダウンロードしたファイルを実行する前、またはシステムが以前より重くなったと感じた際は、最新バージョンのセキュリティソフトでスキャンを行う。

V3 製品では、当該マルウェアを以下の診断名で検知できる。

- Malware/Win32.Generic