YouTubeで拡散される不正ソフトウェアの罠

Thu, 01 Jun 2023 03:05:18 +0900

昨今YouTubeにおいて、Adobe製品などの有償ソフトウェアのクラック版やゲームのチートツールに偽装して、情報窃取型のマルウェアに感染させるキャンペーンが観測されています。この攻撃者グループは、ITリテラシーの低いユーザを主に狙っており、Lumma Stealer等の情報窃取型マルウェアに感染させて認証情報などを窃取しようとします。

また、攻撃者グループは、YouTubeアカウントを大量に侵害していると考えられ、マルウェア感染へ誘導するための動画を日々投稿しています。これまでに日本企業のチャンネルや外国の国営放送のチャンネルが乗っ取り被害を受けており、チャンネルを運用する組織の立場からも、レピュテーションリスクなどの観点で見過ごせない脅威といえます。

本稿では、上記の攻撃内容や被害事例を紹介し、当該脅威に対処するための対策事項を示します。

攻撃の概要

YouTubeの動画から誘導されてマルウェアに感染するまでの流れは、次の通りです。

図1 攻撃の全体像

ユーザがWeb検索を行い、検索結果から悪意のあるYouTube動画へ遷移する
ユーザが悪意のあるYouTube動画視聴により、利用方法を把握する
概要欄や固定コメントに記載されたURLリンクから、ダウンロードサイトへ遷移する
ダウンロードした圧縮ファイルを展開し、exeファイルを実行すると情報窃取型マルウェアに感染する

なお、図中③のダウンロードサイトにはいくつかの種類があり、それぞれ遷移が異なります。これらについては、詳細を後述します。

マルウェア感染までの流れ

マルウェア感染までの具体的な流れを下記に示します。

まず、ユーザが製品名のクラック版などをGoogleで検索すると、マルウェアに誘導するYouTube動画がWeb検索結果に表示されます。多くの場合、これが動画の流入元になっていると考えられます。

図2 Googleでの「adobe crack」の検索例

動画一覧から悪意のある動画に遷移します。

図3 攻撃者が投稿した悪意のある動画

下図の通り、動画の概要欄や固定コメントにURLが記載されており、そこから配布ページに遷移できます。また、ダウンロードしたファイルを展開するためのパスワードも記載されていることもあります。

図4 動画概要欄による誘導例

図5 固定コメントによる誘導例

ダウンロード先のURLリンクには、複数の種類があります。この例では、匿名ブログサービスを経由して、ファイル共有サービスから不正なファイルをダウンロードできるようになっていました。

図6 匿名ブログサービスに投稿された誘導記事

図7 ファイル共有サービスに配置されたマルウェアの例

前述のパスワードでダウンロードした「Setup.rar」を展開できます。

図8 ダウンロード後に展開されたマルウェア

この例では、1GBを超えるサイズのファイル「Software.exe」が展開されており、これを実行するとマルウェアに感染します。ファイルサイズについては、意図的に肥大化させることで、スキャンサイズ上限による検知回避を狙っているものと考えられます。

なお、我々の調査より、当該ファイルは情報窃取型のマルウェアのRaccoon Stealerであることが判明しています。

攻撃プロセスの特徴

YouTube動画

攻撃で使用されている動画は、商用ソフトウェアのクラック版とゲームのチートツールの二種類に大別できます。具体例を下図に示します。

図9 攻撃で使用されるYouTube動画のサムネイル（左：商用ソフトウェアのクラック版、右:ゲームのチートツール）

偽装ソフトウェアと対象のゲームの例を次に示します。

商用ソフトウェア

Adobe社製品： Photoshop、Illustrator、Premiere、AfterEffects、Lightroomなど
VPN製品： NordVPN、ExpressVPN、Avira Phantom VPNなど
アンチウイルス製品： ESET、Avast、Malwarebytesなど
その他： AutoCAD、Twixtor、Voicemod、Wondershare Filmora、Camtasia、Vegas Pro、Microsoft 365、CLIP STUDIO PAINT、Studio Oneなど

ゲーム

Stealer on Mal-Eats

YouTubeで拡散される不正ソフトウェアの罠

攻撃の概要

マルウェア感染までの流れ

攻撃プロセスの特徴

YouTube動画