Windows 正規品認証ツールに偽装するマルウェアに注意

本内容は、アンラボコリアより発表された内容を翻訳したものです。

--------------------------------------------------------------------------------------------

Windows 正規品認証ツールに偽装したマルウェアが流布されており、注意が必要だ。

アンラボは、Infostealer 類のマルウェア 「Vidar」 が KMSAuto、KMSPico などのようなツールに偽装して流布されていると明らかにした。

Infostealer 類のマルウェアは、感染システムのログインアカウント情報と Web ブラウザ、FTP などの応用プログラムの情報を搾取する。 

Vidar が悪用した KMSAuto、KMSPico は Windows 正規品認証のための違法な認証ツールであり、多数のユーザーがインターネットからダウンロードして使用しているプログラムである。

ユーザーは Windows 正規品認証のためにこの認証ツールをダウンロードするが、実際は Infostealer 機能によりユーザー情報が流出する恐れがある。

Vidar は実行ファイル (kmsauto-setup.exe、kmspico.exe) の形で流布され、元の認証プログラムと同様のアイコンを使用する。また、すべて WinRAR SFX 圧縮実行ファイルで作成されており、実行時に [図 1] のようにパスワードを要求する。 

 

パスワードは、主にツールの名称 (kmsauto、kmspico) をそのまま使用し、パスワードを入力すると悪性ファイルを作成・実行する。

 

Vidar が実行されると、Web ブラウザ、FTP クライアント、コインウォレットアドレスなどのユーザー情報を搾取した後に追加でマルウェアを実行する恐れがあるため、注意が必要である。 

 

アンラボ V3製品では、上記マルウェアを以下の診断名で検知できる。 

- Dropper/Win32.Agent.C4112761

- Trojan/Win32.MalPe.R339224

- Trojan/VBS.Agent

- Malware/MDP.SystemManipulation.M2040

違法なプログラムに偽装するマルウェアに感染しないためには、メーカーのホームページから正規品のソフトウェアをダウンロードし、提供元が不明なファイルをダウンロード・実行してはならない。また、OS およびソフトウェアに最新のセキュリティパッチを適用し、セキュリティ対策製品によりリアルタイムスキャンを実行するなどのセキュリティルールを守ることが重要である。