PowerShell Windows ToolboxでWindows 11にGoogle Playストアを入れた人は要注意——実はマルウェアだった

Windows Subsystem for Androidの登場当時、サードパーティ製ツール「PowerShell Windows Toolbox」を使ってWindows 11にGoogle Playストアをインストールした経験があるなら、重大な警告をお伝えしなければなりません。Bleeping Computerの調査によると、このツールは実際にシステムへマルウェアを注入していた可能性があることが判明したのです。

かつてGitHub上でホストされていたこのツール（現在は削除済み）は、「数クリックでWindowsを軽量化（デブロート）し、Google Playストアも導入できる」と謳っていました。しかしその正体はウイルスであり、Windows 11のバックグラウンドで隠蔽されたPowerShellスクリプトを実行し、「トロイの木馬クリッカー（Trojan Clicker）」と呼ばれるマルウェアをインストールしていたのです。

このトロイの木馬クリッカーは、複数のCloudflareサーバーへpingを送信しながら独自のコマンドを実行し、感染ファイルをデバイスへダウンロードさせたり、ユーザーを詐欺サイトのURLへリダイレクトさせたりしていました。仕掛けとなっていたのは、ツールの起動に使われた元の命令文とスクリプトです。一見するとツール本来の機能は正常に動作していましたが、その裏でWindows 11内に隠しフォルダを作成し、不要なChrome拡張機能まで勝手にインストールしていたのです。

感染の疑いがある場合の対処法

Bleeping Computerでは、このツールを使用したことがある場合に削除を検討すべき「C:\systemfile」配下のフォルダについて詳しく解説しています。確実な対処としては、Windowsのクリーンインストールを行うか、ツールを導入する前の時点のバックアップからシステムを復元するのがおすすめです。

繰り返しになりますが、Windowsの動作を変更すると謳うツールをダウンロードする際は、常に慎重さが求められます。アンチウイルスソフトを常に最新の状態に保ち、出所が不明・信頼できないプログラムは絶対にダウンロードしないようにしましょう。