Microsoft StoreやSpotifyの偽ページ、広告で誘導して情報窃取マルウェアを配布

headless 曰く、

Microsoft Storeなどの偽ページを通じた情報窃取キャンペーンが確認されたとしてESETが注意喚起している(BleepingComputerの記事、 SlashGearの記事、 Windows Centralの記事、 ESET researchのツイート)。

ESETによれば情報窃取キャンペーンは南米のユーザーをターゲットにしたもので、「cdnserverhostingdomainname[.]site」というドメインでホストされている。攻撃用ページはMicrosoft Storeのほか、SpotifyとオンラインPDFコンバーター「FreePDFConvert」の偽物が確認されているという。直接たどり着くことはなさそうな偽ページだが、BleepingComputerによれば広告を通じて誘導する仕組みのようだ。

Microsoft Storeの偽ページは本物そっくりに作られているが、「Get」ボタンは「Download Free」ボタンに置き換えられており、クリックするとマルウェア「Ficker」を含むZIPファイルがダウンロードされる。偽Spotifyや偽FreePDFConvertも同様だ。ダウンロードしたZIPファイルを展開してできる実行ファイルを実行すると、アプリや変換結果のPDFファイルが表示される代わりにマルウェアが活動を開始する。

Fickerは1月にロシア語のハッカーフォーラムでレンタル用として公開されたもので、開発者はWebブラウザーなどが保存した認証情報や暗号通貨ワレット、文書ファイルを盗み出すほか、実行中アプリのスクリーンショット撮影も可能だと説明しているとのことだ。

広告で誘導して情報窃取マルウェアを配布

[Anonymous Coward]

>広告で誘導して情報窃取マルウェアを配布
／(^o^)＼ﾅﾝﾃｺｯﾀｲ

とは言え、最近の企業ネットはインターネットファイアウォールの
次世代化は当然として、社内ネットワークの可視化がすすんだので
この手の環境を整備している企業はあまりひかっからないんだよなぁ
（あわせて、エモテットも）

ターゲットはやはり個人なんだろうなぁ
個人のテレワーク接続で企業情報がゲロりつつあるし

Re:

[Anonymous Coward]

新しくドメイン取るだけですぐにFW通り抜けることを知らないと能天気ですね