Corona-virus-map.com.exeとは?コロナウイルス感染マップに偽装したトロイの木馬の脅威と駆除方法

世界中で新型コロナウイルス(COVID-19)の感染者が急増する中、サイバー犯罪者たちはこの混乱に乗じ、ユーザーを「Corona-virus-map.com.exe」と呼ばれるマルウェアへ感染させようとしています。このマルウェアは、世界的な感染状況を追跡する情報源になりすますことで、コロナ禍の混乱を悪用しているのです。

Corona-virus-map.com.exeとは?

Corona-virus-map.com.exe(別名：コロナマップウイルス)は、現在インターネット上で拡散している新種のトロイの木馬です。Windowsシステムのバックグラウンドで密かに動作し、タスクマネージャーで実行中のプロセスを確認しない限り、その存在に気づくのは非常に困難です。このファイルがPC上で動作している場合、システムには2016年に初めて確認された銀行詐欺型トロイの木馬「AZORult」が侵入していることを意味します。

このウイルスの背後にいるサイバー犯罪者たちは、全世界で約70万人が感染し、3万人以上が死亡したパンデミックがもたらした恐怖と混乱を巧みに利用しています。人々は危機に関する情報、特にウイルスの被害が深刻な地域の状況を切実に求めているのです。

そこで悪用されるのが「Corona-virus-map.com」というウェブサイトです。このサイトは、世界中のコロナウイルス感染症例を追跡できるマップを提供すると謳っていますが、ユーザーがアクセスすると同時にマルウェアがダウンロードされ、感染端末から機密情報が収集されてしまいます。

Corona-virus-map.com.exeは何をするのか?

「www.corona-virus-map.com」にアクセスしても、そのサイトが悪意あるものだと見抜くのは至難の業です。「Corona-virus-map.com.exeは悪質なファイルなのか?」「本当にウイルスなのか?」——答えは「はい」です。というのも、このサイトは世界中の既知の感染者分布を示す、極めて本格的なインタラクティブマップに見えるからです。なんと、ジョンズ・ホプキンス大学が公開していた正規のCOVID-19感染マップまで精巧に模倣しており、ウイルス流行国をハイライト表示した世界地図に加え、最新の死者数・感染者数・回復者数の統計まで表示されます。一見すると完全に合法的で、非常に説得力のある外観を備えているのです。

さらに、このマルウェアがホストされているウェブサイトだけでなく、悪意あるサイトへのリンクを仕込んだメールチェーンも多数確認されています。ユーザーがリンクをクリックした瞬間、気づかないうちにトロイの木馬が起動し、自身をコンピュータへダウンロードします。

Corona-virus-map.com.exeは、AZORultバンキングトロイの木馬ファミリーに属する情報窃取型マルウェアです。具体的には、ユーザーの閲覧履歴、Cookie、ユーザー名とパスワード、ブラウザに保存されたクレジットカード情報、暗号資産(仮想通貨)、その他の機密データを盗み出すよう設計されています。さらに、感染端末へ追加の悪意あるアプリをダウンロードすることもあります。

このウイルスを発見したセキュリティ企業Reason Labsの研究者Shai Alfasi氏の調査によると、このマルウェアは「Electrum」や「Ethereum」など、様々な暗号資産ウォレットを探し出すように設計されているとのことです。マルウェアはデータを抽出し、感染ワークステーションの固有IDを生成した後、そのIDを用いてXOR暗号化を適用します。生成されたIDはC2サーバーとの通信確立に使われ、C2サーバーは標的となるブラウザ名、API名、ブラウザのパス情報、正規のDLL、sqlite3クエリなどを含む設定データを送り返します。そして収集されたデータは、「PasswordList.txt」というファイル形式でマルウェアの作者へ送信される仕組みです。

また注目すべきことに、このマルウェアはハッカーの地下市場でも販売されていることが判明しており、価格は200ドルから700ドル程度でした。販売ページの商品説明には次のように記載されていました。

「コロナウイルス感染地域のオンラインマップおよび関連データを完全に機能する状態で読み込みます。マップはサイズ変更可能でインタラクティブ性があり、WHOなどの情報源からのリアルタイムデータを備えています。ユーザーはPreLoaderが実際にはマップだと思い込むため、それを開いて友人にも拡散し、ウイルス的に広まっていくのです!」

Corona-virus-map.com.exeマルウェアが動作するには、感染先のコンピュータにJavaがインストールされている必要があります。コロナマップ自体がJavaベースで作られているためです。つまり、最新版のJavaをインストールしていても、感染を回避できるわけではありません。

PCからCorona-virus-map.com.exeを駆除する方法

コンピュータ内のCorona-virus-map.com.exeマルウェアを検出する最善の方法は、強力なアンチマルウェアソフトウェアを使用することです。これにより、お使いのデバイスがCorona-virus-map.com.exeやその他のマルウェアに感染していないかを効率的にチェックできます。

VirusTotalの調査によれば、少なくとも60種類以上のセキュリティ製品がCorona-virus-map.com.exeを検知できるため、発見自体はそれほど難しくありません。ただし、このマルウェアは以下のような様々な検出名で報告される点に注意が必要です。

• Trojan:Win32/Covitse!MSR
• GenericKD.33504379
• Trojan[PSW]/Win32.AZORult
• Agent.Wacatac
• Troj/MSIL-NZP
• AzorUlt.CoronaMap
• admin@wsxdn.com#1z88bc8nipk8n
• Win32:Trojan-gen

重要なのは、Corona-virus-map.com.exeを手動でファイル削除しただけでは、完全な駆除には不十分な場合が多いという点です。前述のとおり、このマルウェアはWindowsレジストリの改変、新規のスケジュールタスク作成など、システム全体に多岐にわたる変更を加えるため、ユーザーがすべてのコンポーネントを自力で除去するのは困難です。感染の疑いがある場合は、信頼できるマルウェア除去ガイドに従って確実に対処してください。さらに、PCクリーナーアプリを使って感染ファイルをすべて消去し、再感染を防ぐことも忘れないようにしましょう。