Microsoftが警告：ChromeやFirefoxなど主要ブラウザを狙う広告注入マルウェア「Adrozek」の全貌

Microsoftによると、Google Chrome、Mozilla Firefox、Microsoft Edge、Yandexといった主要なウェブブラウザを標的とするマルウェアキャンペーンが、現在も世界中のコンピュータに被害を与え続けています。

このキャンペーンは2020年5月頃から活動を開始しており、ピークとなった8月には1日あたり30,000台以上のデバイスで感染が確認されました。目的は、検索エンジンの検索結果ページへ不正な広告を注入することです。

広告注入マルウェアが世界中のPCに被害

Microsoft 365 Defenderリサーチチームの公式ブログによると、同社は2020年5月上旬からこのマルウェアを追跡し、世界中へ拡散していく様子を継続的に観察してきました。

このマルウェアは「Adrozek」と呼ばれるファミリーに分類されます。Adrozekは不正なブラウザ拡張機能を追加し、ブラウザの設定を書き換えて検索結果に広告を注入するとともに、特定のDLLファイルを改変することで検出を回避しようとします。

Adrozekが検知されないまま放置されると、本来表示されるはずの広告のさらに上に、不正な広告が挿入されることになります。

検索結果に差し込まれる広告にはアフィリエイトサイトへのリンクが含まれており、攻撃者は送り込まれたトラフィック量やクリック数を通じて収益を得ます。最悪の場合、ユーザーがそのページで直接購入を行ってしまい、なりすましやクレジットカード詐欺といった深刻な被害につながる恐れもあります。

さらに、一部のブラウザにおいてAdrozekはより危険な挙動を見せます。Mozilla Firefoxでは、資格情報を盗み出す追加モジュールを有効化できるのです。具体的には、ブラウザに保存されているパスワードを盗み取り、攻撃者のサーバーへ送信します。

感染地域としてはヨーロッパに最も集中しており、南アジアや東南アジアでも大きな被害が確認されています。Microsoftはこれを「持続的かつ広範囲に及ぶキャンペーン」の典型的な特徴だと分析しています。

調査では159の個別ドメインが確認され、各ドメインは平均17,300個のURLをホストしていました。さらに各URLには、平均15,300個もの固有のポリモーフィック型マルウェアサンプルが配置されていたといいます。

AdrozekはどのようにしてPCに侵入するのか

Adrozekを他の類似のブラウザ型マルウェアと区別する特徴のひとつが、「ドライブバイダウンロード」による感染手法です。

ここでいうドライブバイダウンロードとは、ユーザーがダウンロードボタンを押すなどの操作をしなくても、勝手にインストーラーがPC上に現れることを指します。実行されると、インストーラーは第2のインストーラーをダウンロードし、それがさらに本体となるマルウェアのペイロードをダウンロード&インストールする仕組みです。

本体ペイロードには「QuickAudio.exe」や「converter.exe」など、オーディオ関連ソフトウェアを思わせるファイル名が付けられており、フォルダ内で発見されにくくなっています。

インストールが完了すると、Adrozekは自身のコントロールサーバーと通信を始め、ブラウザのセキュリティ設定の改変に着手します。

ブラウザには、マルウェアによる改ざんを防ぐためのセキュリティ設定が備わっています。たとえば「Preferences」ファイルには機密データやセキュリティ設定が含まれており、Chromium系ブラウザでは複数の項目に対する署名と検証を通じて、不正な変更を検出できるようになっています。

Adrozekはこうしたセキュリティ設定を無効化・改変するだけでなく、ブラウザのセキュリティアップデート自体も無効にします。さらに、独自のWindowsサービスを作成するなど、システム内に長期滞在するための複数の機能を備えています。

Adrozekへの対処法・駆除方法

ブラウザに見覚えのない広告が頻繁に表示されるようになったり、意図しないサイトへリダイレクトされたりする場合は、まずお使いのアンチウイルスソフトでウイルススキャンを実行してください。

併せて、Malwarebytesのような専用ツールによる追加スキャンもおすすめです。あらゆる種類のマルウェアを検出・除去できます。最後に、Microsoftチームはマルウェアの痕跡を完全に取り除くため、「ブラウザを再インストールする」ことを推奨しています。