退役軍人を狙う偽求人サイトがマルウェアを配布：知っておくべきすべての情報

最近、米国の退役軍人たちが、就職支援組織を装った偽ウェブサイトに悩まされています。幸いにも、多くの人がその正体に気づき、このサイトが「攻撃者に被害者のコンピュータへの完全な制御権を与えるマルウェアを配布すること」だけを目的として作成されたことを突き止めました。

Cisco Talos Groupの研究者によると、その組織は「Hire Military Heroes（HMH）」と名乗っています。退役軍人がサイトを訪れると、求人探しに役立つと謳われたデスクトップアプリケーションのダウンロードを促される仕組みです。

さらにCisco Talos Groupは、このウェブサイトの背後にいる攻撃者は「Tortoiseshell（トータスシェル）」であると強調しています。Tortoiseshellは、顧客データベースを入手する目的で多くのIT企業を標的にした、新たに特定された攻撃グループです。

同グループは次のように述べています。「これはTortoiseshellによる最新の活動にすぎません。過去の調査では、この攻撃者がサウジアラビアのITプロバイダーへの攻撃の背後にいたことが判明しています。Talosが追跡した今回のキャンペーンでも、Tortoiseshellは過去に使用したものと同じバックドアを使っており、同一の戦術・技術・手順（TTP）に依存していることがわかりました。」

偽の退役軍人向け求人サイトはどうやってマルウェアを拡散するのか？

当然ながら、このマルウェアは米国の退役軍人を標的としています。ITに詳しくない人や、この偽の求人サイトにマルウェアが仕込まれていることにまったく気づいていない人は、指示された操作をすぐに実行してしまうでしょう。

仕組みは以下の通りです。サイトを訪れると、デバイス用プログラムのダウンロードを促されます。Windows PCの場合、マルウェアはwin10.exeというプログラムを含むZIPファイルとして提供されます。

プログラムを起動すると、「Hire Military Heroesは軍隊出身者のための新しい採用リソースです」という小さなローディング画面がポップアップ表示されます。これは「現在データベースに接続中である」と被害者に信じ込ませるための演出です。

しかし実際には、この画面が表示されている間に、マルウェアはすでに別の2つのマルウェアをダウンロードし、コンピュータ内に保存しています。

その後、「お使いのセキュリティソリューションが当社のサーバーへの接続を切断しています」という警告が画面に表示されます。この偽の警告は、プログラムを安全で正当なものに見せるためだけに表示されるものです。

この時点で、2つのマルウェアはすでにダウンロードされ、バックグラウンドで稼働しています。1つ目は被害者とPCに関する情報を収集する役割を担い、もう1つは攻撃者から送られたすべてのコマンドを実行します。

マルウェアはどのようにユーザー情報を収集するのか？

最初にダウンロードされるマルウェアは、合計111個のコマンドを実行します。それらはすべて、被害者とコンピュータに関するあらゆる情報を収集することを目的としています。

コマンドが実行されると、PC上に存在するすべてのファイルの一覧、ドライブ情報、稼働中のすべてのプロセス、有用なネットワーク情報、すべてのネットワーク共有、ファイアウォールデータ、デバイスに設定済みのユーザーアカウントなどの詳細が取得されます。

すべての情報が収集されると、%Temp%\si.cabという名前のファイルに保存されます。その後、被害者のGmailアカウントの認証情報を利用して、攻撃者へ送り返されます。

マルウェアは攻撃者から送られたコマンドをどう実行するのか？

前述の通り、被害者のコンピュータには2種類のマルウェアがダウンロードされます。1つ目は情報収集を行い、2つ目は攻撃者から送られたあらゆるコマンドを実行します。

2つ目のマルウェアは、リモートアクセストロイの木（RAT）の形態を取ります。Windowsサービスとしてインストールされ、dllhostという名前が付けられます。自動起動するよう設定されているため、Windowsが起動するたびに実行されます。

一度アクティブになると、このトロイの木馬は作成者や制御サーバー（C&Cサーバー）と通信を開始します。これらのサーバーを通じて、マルウェアはファイルのアップロード、サービスの停止、さらには他のコマンドの実行といった命令を受け取るのです。

なお、現時点ではこのマルウェアの具体的な配布手法は不明です。研究者たちは次のように語っています。「公開時点で、使用された配布方法は確認できておらず、このマルウェアが実環境で存在する証拠もありません。使用されている.NETバイナリは、ハードコードされた認証情報などOPSEC（運用セキュリティ）面の脆弱性が多く、洗練度は低いと言えます。しかし一方で、マルウェアをモジュール化し、被害者がすでに実行済みであることを検知できるなど、より高度な技術も併用されています。」

さらに彼らは、「特定レベルの洗練度と多様な被害状況が確認できることから、APT（標的型攻撃グループ）の複数チームが、このマルウェアの複数の要素にそれぞれ関わった可能性がある」とも指摘しています。

マルウェア対策のための7つのヒント

コンピュータをマルウェアから守りたいなら、予防策を講じることが不可欠です。以下に、今すぐ実践できる便利な対策を紹介します。

ヒント1：アンチマルウェアソフトを導入する

当たり前に思えるかもしれませんが、意外と見落とされがちなポイントです。OSに内蔵の保護機能だけでは決して安心できません。セキュリティを一段階引き上げるためにも、信頼できるサードパーティ製のアンチマルウェアソフトを導入しましょう。導入後は、OSを最新の状態に保つことも忘れずに行ってください。

ヒント2：OSを常に最新の状態に保つ

macOS、Linux、Windowsのいずれを使っていても、OSを最新の状態に保つのはユーザーの責任です。OS開発者は、既知のバグや脆弱性を修正するセキュリティパッチを継続的にリリースしています。更新を怠ると、修正済みの脆弱性を突かれる危険性が高まります。

ヒント3：ネットワークの安全を確保する

私たちは日常的に、プリンターや他のPC、そしてインターネットに接続しています。すべての接続を安全に保つには、強力なパスワードの設定が不可欠です。

また、可能であればオープンなWiFiネットワークを公開しないことも大切です。WEP暗号化はすでに時代遅れであり、ハッカーならわずか数分で突破できてしまうため、WPAまたはWPA2暗号化を使用しましょう。

さらに、SSID（WiFiネットワーク名）のブロードキャストをオフにするのも有効です。デバイス側でネットワークを手動設定する手間はありますが、その分ネットワークの安全性は高まります。

ヒント4：クリックする前に立ち止まる

これも常識の範囲ですが、非常に重要です。送信元が不明なメールに含まれるリンクは絶対にクリックしないでください。リンクにカーソルを合わせて、遷移先URLを事前に確認する習慣をつけましょう。また、Webからファイルをダウンロードする際は、実行前に必ずウイルススキャンを行ってください。

ヒント5：公衆WiFiへの接続を避ける

図書館、カフェ、空港などの公共の場所では、オープンなWiFiネットワークへの接続を避けましょう。特に、銀行アプリや機密性の高い書類にアクセスする場合は厳禁です。攻撃者が同じネットワーク上で、次の犠牲者が罠にかかるのを待ち構えている可能性があります。

ヒント6：重要なファイルのバックアップを取る

最悪の事態に備える最善策は、重要なファイルのバックアップです。理想的には、別のストレージデバイスにバックアップを保存しておきましょう。万が一PCが起動しなくなっても、バックアップから簡単に復元でき、別のデバイスでファイルを利用し続けられます。

ヒント7：実際に行動する

ここで紹介したヒントも、実行しなければ何の意味もありません。自ら積極的に行動し、マルウェア攻撃の防止に努めることが重要です。アンチマルウェアソフトを導入しなければ、いずれ脅威がシステムに深刻な被害をもたらす日が必ず来ます。

要するに、行動することが何よりも大切なのです。PCの前に座って待っているだけでは、マルウェアには何の対抗策にもなりません。

まとめ

よく言われる言葉があります。「良すぎる話は、おそらく真実ではない」と。考えてみてください。仕事は自分の力で獲得するものです。プログラムやアプリをダウンロードするだけで簡単に就職できるはずがありません。もし「就職に役立つプログラムをダウンロードせよ」と促すウェブサイトを見つけたら、即座に閉じましょう。まともな求人は、数多くの合法的な転職サイトでいくらでも見つかります。

賢く行動しましょう。こうした詐欺的手法に騙されないこと。そして、ハッカーに重要な情報を盗まれる隙を与えないよう、予防策を確実に実施することが大切です。

あなたは以前、類似のマルウェアに遭遇したことはありますか？どのように対処しましたか？ぜひコメント欄でお聞かせください。