GitHubでPS5エミュレーターを装うリポジトリ
GitHub上で、実在するPS5エミュレーターを装ったマルウェア入りのリポジトリが確認されました。ダウンロードしたソフトはパスワードなどの個人情報を盗み、Microsoft Defenderの検査を避ける設定も加えます。
NordVPNの脅威インテリジェンスチームによると、悪意あるリポジトリは「Kyttyps5」と「AnyPS5」の名前を使っていました。リポジトリも既存のエミュレーターに似せ、本物と誤認させる作りでした。
NordVPNの最高技術責任者マリユス・ブリエディス氏は、実験的なソフトをGitHubから入手し、署名のないファイルを実行する利用者が狙われていると述べています。今回のソフトはエミュレーターとして動作せず、情報を盗むプログラムだと説明しました。
Defenderの検査を避けて情報を盗む
ダウンロード後、マルウェアはMicrosoft Defenderに除外ルールを追加し、ウイルス検査の対象から外します。その後、NordVPNが情報窃取型マルウェアとみる実行ファイルを展開し、自身のファイルを削除するスクリプトを実行します。
情報窃取型マルウェアは、感染した端末からパスワード、Cookie、セッショントークンなどを集め、攻撃者が管理するサーバーへ送信します。盗まれた情報はログとして扱われ、企業のVPNやメール、クラウドなどの認証情報を含む場合があります。
こうしたマルウェアは、人気ソフトの偽版や改変版のほか、広告や検索結果を悪用して配布されます。情報を送信した後にマルウェア自身が削除される場合もあり、今回報告された動きと共通しています。
ブラウザーに保存された認証情報も標的に
ウェブブラウザーは、次回以降の入力を省くため、ウェブサイトのユーザー名やパスワードを保存できます。保存情報は通常暗号化されていますが、ブラウザー固有のファイルや保存領域から取り出す手法があります。
MITRE ATT&CKは、攻撃者がブラウザーの保存ファイルを読み取るほか、ブラウザーのプロセスメモリーから認証情報に合致するデータを探す手法を挙げています。Windowsでは、Chromeの保存情報がデータベースに格納され、WindowsのAPIを使って復号できる例も示しています。
盗まれた情報は、ほかのシステムやアカウントへのログインにも試されることがあります。ブラウザーの認証情報やCookie、セッショントークンが攻撃者側へ渡り、企業アカウントへのアクセスに使われる可能性があります。
ダウンロード前に確認する点
NordVPNは、GitHubから入手する際にリンク先がエミュレーターの開発チームに属するリポジトリか確認するよう勧めています。また、作成日が新しくレビューが少ない類似リポジトリにも注意を促しました。
ダウンロードやインストールの間、ウイルス対策ソフトを無効にしないこともNordVPNが挙げた対策です。今回のマルウェアはDefenderの除外ルールを追加するため、保護機能を止める操作を重ねると、検査を避ける仕組みに気づきにくくなるおそれがあります。
ソニーは同年、ファーストパーティー作品をPCへ公式移植する方針を終了すると発表しました。Engadgetは、この方針がKyttyps5などのエミュレーターの人気に関係する可能性を指摘しました。
