FacexWormとは?Facebook Messengerと暗号資産取引所を悪用する危険なChrome拡張機能

2017年8月に初めて確認されたChrome拡張機能型マルウェア「FacexWorm」が、再び猛威を振るい始めています。古いワーム型マルウェアでありながら、新たな手口を次々と繰り出す厄介な存在です。このマルウェアの被害者に共通しているのは、「明らかに不審なファイルを開いてしまう」という重大なミスです。

FacexWormはどのようにシステムに侵入するのか?

感染の起点はFacebook Messengerです。ユーザーが友人から届いたスパムメッセージを開くと、その中に動画へのリンクが含まれています。このリンクをクリックすると偽のYouTubeサイト(プロキシサイト)へ誘導され、「動画を再生するにはコーデック用の拡張機能が必要」というポップアップが表示されます。さらに「動画の高速ストリーミングのため」として、開いているWebサイト上のデータ変更権限まで求めてきます。

ユーザーがこれを許可すると、スクリプトがPCに読み込まれ、FacexWormは密かにコマンド&コントロール(C&C)サーバーから追加の悪意あるコードをダウンロードし始めます。その後、Facebookのサイトを開き、被害者の友人・フォロワー全員に同じ悪質なメッセージを送信します。こうして自身のシステムに侵入しただけでなく、それを踏み台にしてネットワーク全体へと感染を広げていくのです。

システムへの影響は?

Google Chromeのデスクトップ版以外のブラウザでアクセスした場合、悪質なリンクはランダムな広告ページへリダイレクトされます。これは検出を回避するための仕組みで、新しいWebページが開かれるたびにC&Cサーバーへ問い合わせを行い、別のJavaScriptコードを取得します。これらのコードはGitHubのリポジトリ上でホストされており、取得後は同じ手順をそのページでも繰り返します。

特に厄介なのが暗号資産(仮想通貨)関連の攻撃です。PC内に暗号資産ウォレットが保存されている場合や、オンラインで暗号資産の取引ページにアクセスした際、FacexWormは入力された送金先アドレスを検知し、攻撃者が指定した別のアドレスへとすり替えてしまいます。

このアドレス書き換えは、Binance(バイナンス)、Poloniex(ポロニエックス)、Bitfinex(ビットフィネックス)、HitBTCなど、多数の取引所プラットフォームで実行される恐れがあります。

攻撃対象となる暗号資産は、Bitcoin(BTC)、Dash(DASH)、Ethereum Classic(ETC)、Monero(XMR)など多岐にわたります。

起こりうる被害とは?

FacexWormはソーシャルメディア経由でシステムに侵入するため、被害者とそのデジタルアイデンティティに対して、さまざまな形で影響を及ぼします。

1. アカウント認証情報の窃取

Google、Coinhive、その他のソーシャルメディアなど、各種プラットフォーム上のアカウント認証情報を盗み出すことができます。ログイン情報を入手すると、そのデータを本体サーバーへ送信し、以降も継続的に監視を行います。

2. 暗号資産の不正マイニング(クリプトジャッキング)

被害者のPCを利用して暗号資産を採掘(マイニング)することも可能です。高度に複雑化されたCoinhiveスクリプトが検知されないままPC上で動作し、CoinHiveプールに接続。被害者のPCの計算能力を使って、攻撃者のウォレット向けに暗号資産をマイニングします。CPU使用率は20%に制限されていますが、それでも被害者は電気代の約20%増分を知らずに負担していることになります。

3. 暗号資産詐欺への巻き込み

盗んだアカウント情報を悪用し、「Blockchain」「Bitcoin」「Ethereum」「Ripple」といったキーワードを含むメッセージを送りつけ、事前に用意された詐欺ページへ誘導します。この詐欺ページでは、「0.5〜10 ETHを送金すると5〜100 ETHが返ってくる」という偽の当選者体験談が掲載されています。なお、これは現在市場で最も一般的な暗号資産詐欺の手口の一つです。

4. リファラル報酬の不正獲得

被害者がWebサイトにアクセスする際、同名のプロキシサイト(偽サイト)を表示させるケースもあります。これらの偽サイトは、正規サイトのリファラル(紹介)リンクとして攻撃者によって設定されており、アクセスがあるたびに攻撃者が紹介報酬を受け取ります。DigitalOcean、Binance、HashFlare、FreeBitco.inなどのサイトがこの手法の標的となっています。

まとめ:十分な注意を!

現時点での被害報告は多くありませんが、FacexWormは最も深刻な被害をもたらしうるマルウェアの一つになる潜在能力を秘めています。デジタルアイデンティティを侵害するだけでなく、長期的には暗号資産ウォレットを崩壊させる可能性さえあります。送信者の名前に関わらず、Facebook Messengerで受け取った不審なメッセージ内のリンクをクリックする前には、必ず慎重に確認することを強くお勧めします。