Last Updated on 2024-06-23 07:17 by admin

新しいアドウェアがMeta Quest（旧Oculus）アプリケーションをWindowsで検索するユーザーを標的にしています。

このアドウェアは「AdsExhaust」と呼ばれ、感染したデバイスからスクリーンショットを抜き取り、シミュレートされたキーストロークを使用してブラウザと対話する能力があります。eSentire社の分析によると、このアドウェアは自動的に広告をクリックしたり、特定のURLへのブラウザのリダイレクトを行い、アドウェア運営者に収益をもたらします。

感染の初期段階では、検索エンジン最適化（SEO）ポイズニング技術を使用して偽のウェブサイト（”oculus-app[.]com”）がGoogle検索結果ページに表示され、訪問者がZIPアーカイブ（”oculus-app.EXE.zip”）をダウンロードするよう促します。

このZIPアーカイブには、Windowsバッチスクリプトが含まれており、コマンドアンドコントロール（C2）サーバーから別のバッチスクリプトを取得するコマンドが含まれています。さらに、機器にスケジュールされたタスクを作成し、異なる時間にバッチスクリプトを実行します。

このプロセスに続いて、正規のアプリが侵害されたホストにダウンロードされ、同時に追加のVisual Basic Script（VBS）ファイルとPowerShellスクリプトがドロップされ、IPおよびシステム情報を収集し、スクリーンショットをキャプチャし、データをリモートサーバー（”us11[.]org/in.php”）に送信します。

AdsExhaustアドウェアは、Microsoft Edgeブラウザが実行中であり、システムがアイドル状態で9分を超える場合、スクリプトに埋め込まれたURLへのナビゲーション、新しいタブの開設、クリックの注入を行うことができます。

このアドウェアは、画面上の特定の座標内でランダムにクリックを行い、開いたページをランダムに上下にスクロールします。また、マウスの動きやユーザーの操作が検出された場合に開いているブラウザを閉じ、活動を被害者に隠すためのオーバーレイを作成し、現在開いているEdgeブラウザのタブで「Sponsored」という単語を検索して広告をクリックし、広告収入を増やすことを目的としています。

さらに、リモートサーバーからキーワードのリストを取得し、それらのキーワードでGoogle検索を行うためにEdgeブラウザセッションをStart-Process PowerShellコマンドを使用して起動する能力も備えています。eSentire社は、「AdsExhaustは、ユーザーの操作を巧妙に操作し、活動を隠して不正な収益を生み出すアドウェアの脅威である」と述べています。

【編集者追記】用語解説

• SEOポイズニング：
  SEO（検索エンジン最適化）を悪用して、悪意のあるウェブサイトを検索結果の上位に表示させる手法です。「ポイズニング」は「毒を盛る」という意味で、正常な検索結果に「毒」を混ぜ込むことを表しています。
• アドウェア：
  広告を表示することを主な目的とする、望ましくないソフトウェアのことです。ユーザーの同意なしにインストールされ、迷惑な広告を表示したり、ブラウジング習慣を追跡したりします。
• C2サーバー：
  Command and Control（指揮統制）サーバーの略で、サイバー攻撃者がマルウェアに感染したコンピューターを遠隔操作するために使用するサーバーです。
• Meta Quest：
  Metaが開発・販売している仮想現実（VR）ヘッドセットのブランド名です。以前はOculus Questとして知られていました。

【参考リンク】
eSentireオフィシャルサイト（外部）

【関連記事】
サイバーセキュリティニュースをinnovaTopiaでもっと読む

【ニュース解説】

最近、Meta Quest（旧Oculus）アプリケーションをWindowsで検索しているユーザーを狙った新たなアドウェアキャンペーンが発覚しました。このキャンペーンでは、「AdsExhaust」と名付けられた新しいアドウェアファミリーが、感染したデバイスからスクリーンショットを抜き取り、ブラウザとの対話にシミュレートされたキーストロークを使用することで、広告を自動的にクリックしたり、特定のURLへのリダイレクトを行い、アドウェア運営者に収益をもたらすというものです。

このアドウェアは、検索エンジン最適化（SEO）ポイズニング技術を利用して、偽のウェブサイトをGoogle検索結果に表示させ、訪問者にZIPアーカイブをダウンロードさせることから始まります。このZIPアーカイブには、さらに悪意のあるコードをダウンロードするためのバッチスクリプトが含まれています。このプロセスを通じて、正規のアプリがダウンロードされる一方で、追加のスクリプトがデバイスにドロップされ、データを外部サーバーに送信します。

このアドウェアの特徴は、Microsoft Edgeブラウザがアイドル状態である場合に、自動的にクリックや新しいタブの開設、特定のURLへのナビゲーションを行うことができる点です。また、ユーザーの操作を検出するとブラウザを閉じ、自身の活動を隠すためのオーバーレイを作成する能力も持っています。

このキャンペーンの影響は、ユーザーのプライバシー侵害や不正な広告収入の生成にとどまりません。感染したデバイスは、さらに悪意のある活動に利用される可能性があります。このようなアドウェアは、ユーザーのデバイスのセキュリティを脅かし、信頼できる情報源からのダウンロードの重要性を再確認させます。

この事例は、検索エンジン最適化（SEO）ポイズニングやソーシャルエンジニアリングなど、サイバー攻撃者がどのようにしてユーザーを騙し、悪意のあるソフトウェアをダウンロードさせるかの一例を示しています。ユーザーは、公式のアプリケーションストアや信頼できるソースからのみソフトウェアをダウンロードすること、そして不審なウェブサイトやリンクには注意を払うことが重要です。また、定期的なセキュリティアップデートとアンチウイルスソフトウェアの使用も、このような脅威から保護するために不可欠です。

from Warning: New Adware Campaign Targets Meta Quest App Seekers.