Fauxperskyとは？2018年に発見されたカスペルスキーを装う新種マルウェアの全貌

デジタル化の光と影――新たな脅威「Fauxpersky」とは

デジタル化は私たちの生活水準を大幅に向上させ、物事をより簡単に、迅速に、そして確実なものにしました。しかし、あらゆる記録をコンピュータ上で管理し、インターネット経由で処理することには、コインの裏表のような二面性があります。数え切れないほどのメリットがある一方で、ハッカーとその道具である「マルウェア」という重大な欠点も存在します。この巨大なマルウェアファミリーに新たに加わったのが「Fauxpersky（フォーパースキー）」です。

Fauxperskyという名前は、有名なロシア製セキュリティソフト「Kaspersky（カスペルスキー）」と韻を踏んでいますが、共通点は名前だけです。Fauxperskyはカスペルスキーに擬態し、ユーザーの情報を盗み出してインターネット経由でハッカーへ送信するよう設計されています。USBメモリ経由で拡散し、ユーザーのコンピュータに感染すると、キーロガーのようにすべてのキーストロークを記録し、最終的にGoogleフォームを通じて攻撃者のメールボックスへデータを送信します。

このマルウェアの命名の由来はシンプルです。模倣品を意味する「Faux（フォー）」にちなみ、カスペルスキーの模倣品であることから「Faux-Kaspersky＝Fauxpersky」と名付けられました。

Fauxperskyを構成する主要コンポーネント

このマルウェアの実行プロセスを理解するために、まずはその構成要素を確認しておきましょう。

キーロガー（Keylogger）

キーロガーとは、コンピュータユーザーが入力したすべてのキーストロークを記録するプログラムのことです。特にパスワードなどの機密情報への不正アクセスを目的とした悪意あるソフトウェアとして知られています。ただし開発当初は、親が子供のオンライン活動を監視したり、企業が従業員の業務状況を確認したりするための正当な用途で使われていました。

AutoHotKey（AHK）

AutoHotkeyはMicrosoft Windows向けの無料・オープンソースのスクリプト言語です。当初は簡単なキーボードショートカット（ホットキー）の作成、高速なマクロ生成、ソフトウェア自動化を目的としており、技術レベルを問わず誰でもWindowsアプリケーション上の反復作業を自動化できる便利なツールです。

Googleフォーム（Google Forms）

GoogleフォームはGoogleのオンラインオフィススイートを構成するアプリの一つです。アンケートや質問票を作成して対象グループに配信し、回答を一つのスプレッドシートに集約して分析に活用できます。

Kaspersky（カスペルスキー）

カスペルスキーはロシアの有名なセキュリティブランドで、ウイルス対策、インターネットセキュリティ、パスワード管理、エンドポイントセキュリティなど、幅広いサイバーセキュリティ製品とサービスを展開しています。

「良いものが多すぎると、大きな悪いものが生まれる」――こう言われることもあります。

Fauxperskyの仕組み

FauxperskyはAutoHotKey（AHK）ツールを用いて開発されました。AHKはユーザーがWindowsに入力したテキストを読み取り、他のアプリケーションへキーストロークを渡すことができます。AHKキーロガーの手法は非常に単純で、自己複製によって拡散します。

システム上で実行されると、ユーザーが入力したすべての情報を、対象ウィンドウの名前が付いたテキストファイルへ保存し始めます。マルウェアは「Kaspersky Internet Security」の外見を装って動作し、記録したキーストロークの情報をGoogleフォーム経由でハッカーへ送信します。

データ抽出の手法はかなり独特です。攻撃者はdocs.google.comとの暗号化通信を利用するため、トラフィックを監視するセキュリティソリューションにとって不審に映らず、感染端末からデータを回収しても疑われることがありません。キーストロークのリストが送信された後は、検知を避けるためにハードドライブから削除されます。しかしながら、一度感染したシステムでは、PCを再起動するたびにマルウェアが再び起動します。さらに、スタートメニューのスタートアップフォルダにも自身のショートカットを作成します。

Fauxperskyの感染手順（Modus Operandi）

最初の感染経路は特定されていませんが、マルウェアがシステムに侵入すると、コンピュータに接続されたすべてのリムーバブルドライブをスキャンし、自分自身を複製します。そして%APPDATA%内に「Kaspersky Internet Security 2017」という名前のフォルダを作成し、6つのファイルを格納します。

うち4つは実行可能ファイルで、いずれもWindowsのシステムファイルと酷似した名前を持っています：Explorers.exe、Spoolsvc.exe、Svhost.exe、Taskhosts.exe。残りの2つはカスペルスキーのロゴ画像ファイルと、「readme.txt」というテキストファイルです。

4つの実行ファイルはそれぞれ異なる役割を担っています：

• Explorers.exe ―― ファイル複製によってホストマシンから接続中の外部ドライブへ拡散します。
• Spoolsvc.exe ―― システムのレジストリ値を改変し、ユーザーが隠しファイルやシステムファイルを表示できないようにします。
• Svhost.exe ―― AHK機能を利用して現在アクティブなウィンドウを監視し、入力されたキーストロークを記録します。
• Taskhosts.exe ―― 最終的なデータアップロードを担当します。

テキストファイルに記録されたすべてのデータは、Googleフォーム経由で攻撃者のメールボックスへ送信され、その後システムから削除されます。また、Googleフォーム経由で送信されるデータは既に暗号化されているため、Fauxperskyによるデータ送信は各種トラフィック監視ソリューションにおいても不審に見えないのです。

このマルウェアの発見はサイバーセキュリティ企業「Cybereason」の功績によるものです。感染したコンピュータの台数は明らかにされていませんが、FauxperskyはUSBメモリの共有という旧来型の方法で拡散しています。なお、Googleへ通報された後、同社は迅速に対応し、わずか1時間以内に該当フォームをサーバーから削除しました。

Fauxperskyの駆除方法

自身のコンピュータの感染が疑われる場合は、以下の手順を試してください：

• 「AppData」フォルダにアクセスし、「Roaming」フォルダを開きます。
• 「Kaspersky Internet Security 2017」に関連するファイルとフォルダ自体を削除します。
• スタートメニュー内のスタートアップフォルダからも関連ショートカットを削除します。
• アカウントの不正利用を防ぐため、各サービスのパスワードを変更しましょう。

まとめ：マルウェアから身を守るために

最新のアンチマルウェアソフトを導入していても、コンピュータに保存された個人情報が安全だと断言することはできません。世界中で社会工学的手法を用いた新種のマルウェアが日々作成されています。アンチマルウェアベンダーは検出定義の更新を続けていますが、高度な技術を持つ攻撃者が生み出す異常なソフトウェアを100％検知できるわけではありません。侵入を防ぐ最善策は、信頼できるウェブサイトのみを閲覧し、外部ドライブの使用時には細心の注意を払うことです。