<危険>YouTube経由チート・クラック原因72％マルウェア感染 RedLine Stealer

チートツールやクラックが原因でウイルス感染７割

マルウェア （コンピュータウイルス） の 「RedLine Stealer」 に感染した日本国内の Windows パソコン 928 台から外部に流出したデータを日本のセキュリティ企業が分析しました。

その結果、感染原因の 約７割 （72％） が 不正ソフトのインストール だったと判明したそうです。

最新のコンピュータウイルスの感染経路は？ （NHKニュース）

マルウエア感染の 7 割余 不正ソフトのインストールが原因か - NHKニュース 2021年11月

https://www3.nhk.or.jp/news/html/20211108/k10013338171000.html

パソコンに感染してクレジットカード情報や、通販サイトのパスワードなどを盗み取るマルウエアについて、感染経路の 7 割余りが、不正なソフトウエアのインストールが原因とみられることが情報セキュリティー会社の調査で分かりました。

職場や自宅のパソコンに感染してクレジットカード情報や、通販や SNS のパスワードなどを盗み取るマルウエアは、ここ数年被害が拡大しています。

どのような経路で感染するのか、去年から猛威を振るっている 「レッドライン」 と呼ばれる情報窃取型のマルウエアについて、情報セキュリティ－会社が日本の感染例 920 件余りの情報を解析したところ、74％ が不正なソフトをみずからインストールしたことが原因とみられることが分かりました。

具体的には、▽オンラインゲームなどにずるして勝つための不正ソフトが 41％、▽有料のソフトを無料で使えるようにする不正ソフトが 31％ でした。

【凸版印刷のセキュリティ企業 Armoris による調査】

調査結果のモニター画面
41％ オンラインゲームのチート・クラックツール
31％ 有償ソフトウェアのクラック （海賊版）
24％ 感染経路不明
（円グラフの 41％ を指して） 半数近くが YouTube 経由でウイルス感染

セキュリティアナリストさんのコメント
「検索サイトで上位に出てきたからといって、それが必ずしも安全というわけではありませんので…」

不正ソフト偽装でウイルス配布
チートツールやクラックを装う 対戦型オンラインゲームで自分が強くなり有利になる ゲームのパラメータやコンテンツを改造する cheat, crack, hack, mod menu, skin changer, unlock, swapper, bot, aimbot, wallhack, spoofer …
海賊版ソフトウェアを装う 購入の必要がある有償ソフトウェア製品を無料ダウンロード free download, license key, serial key, keygen, full version, adobe, microsoft …

当然ながら、この手の怪しいブツは、非公式の代物で出所も何もあったもんじゃな～し！

ウイルス感染に至る真相は、ユーザーが自らの意思でダウンロードしたプログラムが 危険な罠 だった悲劇であり、Windows パソコン上で未知のファイルをダブルクリックして開いた挙げ句の 自爆感染 でしょう。

危険！ 暗躍する RedLine Stealer ウイルスとは？

「RedLine Stealer」 （読み方 レッドライン・スティーラー） は、海外の闇サイトやフォーラムなどで販売されているサイバー犯罪者向けのソフトウェア製品です。

「RedLine Stealer」 を宣伝する最初期の投稿 （2020年2月）

【stealer とは？】

「steal」 （盗む） と接尾辞 「-er」 （～する人、物） に由来し、「infostealer」 （インフォスティーラー） とも呼ばれるセキュリティの脅威。ソフトウェアに保存されているユーザー名とパスワード、クレジットカード情報、その他の個人データといった機密情報を被害者の端末から密かに収集するよう設計されたマルウェアの一種。

Telegram 上にある 「RedLine Stealer」 公式チャンネル

【MaaS （Malware as a Service） とは？】
SaaS がモチーフで、「サービスとしてのマルウェア」 という意味。サイバー攻撃を実行するためのソフトウェアやハードウェアをサービスとして貸し出すシステム体系のこと。
MaaS の所有者は、マルウェアを使用する権利やマルウェアを配布するボットネットにアクセスする権利を有償で提供し、サービスの利用者に対してサイバー攻撃を制御するための個人アカウントや技術サポートが提供される。

「RedLine Stealer」 世界の検出状況 （2021年11月）
出典 McAfee MVISION Insights

米国のセキュリティ企業 Proofpoint （プルーフポイント） によると、2020年3月に初めて観測された 「RedLine Stealer」 ウイルスの感染手口は、時節な出来事だった新型コロナウイルス感染症 COVID-19 がテーマのEメールの配信でした。

RedLine Stealer Resurfaces in Fresh RIG Exploit Kit Campaign - BitDefender
https://www.bitdefender.com/blog/labs/redline-stealer-resurfaces-in-fresh-rig-exploit-kit-campaign/

今年 2022 年の初め、私たちは CVE-2021-26411 のエクスプロイトを使って悪意のあるペイロードを配信する RIG Exploit Kit のキャンペーンに気づきました。このペイロードの 1 つが、2022 年 1 月 3 日 に Bitdefender Labs が捕捉したトロイの木馬 RedLine Stealer でした。

Windows 10/11 有効なセキュリティ対策
Windows 今月分の Windows Update が適用できていると 影響は極めて低い マイクロソフトは2021年3月にセキュリティ更新プログラムを配信済み
ブラウザ 導入している Microsoft Edge、Chrome、Firefox が最新版か確認する

この記事を書くため 「RedLine Stealer」 ウイルスについて調べていると、海外のフォーラムで 「RedLine Stealer」 の感染が原因で流出した大規模なデータの一部を公開し、金額を付けて売りさばく投稿を複数見かけてヒェッとなりました。

190 GB 分の流出データを 450 ドルで販売する例 （2021年11月）

いったい 「RedLine Stealer」 ウイルスに感染したらどうなるのか、対応している主な機能を紹介します。

RedLine Stealer 主要な機能 2 つ
PC から多種多様な情報窃取を行い外部に送信 別のマルウェアを PC に感染させる仕組み

Windows 用 Chromium 系ブラウザに保存させている認証情報を盗む

【RedLine Stealer が窃取する Windows ブラウザ例】
Chromium
Google Chrome
Opera
Opera GX
CoolNovo
Iridium Browser
CentBrowser

Vivaldi

Epic Privacy Browser

Sleipnir 5
Coowon Browser
Comodo Dragon
Torch Web Browser
Yandex Browser
Maxthon 3 Browser
Cốc Cốc
Brave
Microsoft Edge

【関連するブラウザのヘルプページ】
・ Google Chrome
https://support.google.com/chrome/answer/95606
https://support.google.com/chrome/answer/142893

https://support.google.com/chrome/answer/95647

・ Microsoft Edge
https://support.microsoft.com/microsoft-edge/b4beecb0-f2a8-1ca0-f26f-9ec247a3f336
https://support.microsoft.com/microsoft-edge/81da697c-9910-d9b8-d50a-1712d96f3db8
https://support.microsoft.com/microsoft-edge/63947406-40ac-c3b8-57b9-2a946a29ae09

Windows 用 Gecko 系ブラウザに保存させている認証情報を盗む

• Cookie … ウェブサービスの 2 段階認証を突破して不正アクセス実現の恐れ

【RedLine Stealer が窃取するブラウザ例】
Mozilla Firefox

Waterfox
K-Meleon
Mozilla Thunderbird
Comodo IceDragon
Cyberfox
Pale Moon

【関連するブラウザのヘルプページ】
・ Mozilla Firefox
https://mzl.la/3vVeO8Y

ゲーム クライアント 1 種のアカウント情報を盗む 〔アカウント乗っ取り〕

• Steam （Valve Corporation） Firefly
  └ Steam Guard SSFN ファイル … 2 段階認証を突破して Steam アカウントに不正アクセス実現の恐れ

コミュニケーション ツール 2 種のアカウント情報を盗む 〔アカウント乗っ取り、フレンド宛てにスパムメッセージ送信〕

• Telegram
  
  
• Discord
  └ 認証トークン .ldb ファイル … 2 段階認証を突破して Discord アカウントに不正アクセス実現の恐れ

FTP ソフト 1 種に保存されている Web サーバのアカウント情報を盗む

VPN ソフト 3 種に保存されている VPN サーバの認証情報を盗む 〔組織の VPN への不正アクセスの恐れ〕

暗号資産 （仮想通貨） を保管するウォレットを盗む

【RedLine Stealer が窃取するデスクトップ ウォレット例】
Armory

Atomic Wallet
Coinomi
Electrum Bitcoin Wallet
Ethereum
Exodus Wallet
Guarda
Jaxx

Chrome ブラウザ拡張機能に保存されているウォレットを盗む
└ 暗号資産 （仮想通貨） のウォレットアプリ MetaMask ほか約 30 種

【RedLine Stealer が窃取する Chrome 拡張機能ウォレット】
Yoroi
TronLink
Nifty Wallet
MetaMask
Math Wallet
Coinbase Wallet
Binance Wallet
BraveWallet
Guarda
EQUAL Wallet
Jaxxx Liberty
BitApp Wallet
iWallet
Wombat
Oxygen Atomic Crypto Wallet
MEW CX
GuildWallet
Saturn Wallet
Ronin Wallet
Terra Station Wallet
Harmony Chrome Extension Wallet
Coin98 Wallet
EVER Wallet
KardiaChain Wallet
Phantom
Pali Wallet
BOLT X
Liquality Wallet
XDEFI Wallet
Nami
Maiar DeFi Wallet
Temple Tezos Wallet
---
Authenticator 2FA

指定のフォルダーや拡張子を元にファイルを探索して盗む

「RedLine Stealer」 感染の直後にデスクトップの様子を写したスクリーンショット画像 1 枚を保存する

感染した Windows パソコンの一般的なシステム情報を収集する

【統計的に収集されるシステム情報】
IP アドレス 〔https://api.ip.sb/ip〕
IP アドレスから推測された地理的位置 （国名・地域名）
Windows のユーザー名
パソコンのデバイス ID
Windows の表示言語
タイムゾーン
ディスプレイの解像度
Windows OS のエディション
CPU プロセッサ名

GPU プロセッサ名

実装 RAM の容量
動作するウイルス対策ソフトウェアの種類
インストールされているブラウザ一覧
インストールされているソフトウェア一覧

外部ネットワークに接続し、任意の実行ファイルをダウンロードしてきて起動する

• Twitter、Instagram アカウントの乗っ取りで仮想通貨の詐欺スパムが投稿された
  
  
• YouTube チャンネルが乗っ取られて英語の動画を勝手に投稿された
  
  
• 保有する仮想通貨が見知らぬアドレスに勝手に送金されて盗まれた
  
  
• Steam アカウントの乗っ取りでゲームをプレイされた勝手に購入された
  
  
• Discord アカウントの乗っ取りで運営するサーバーの管理権限を奪取された
  詐欺のスパムメッセージがフレンド全員に宛てて勝手に送信された
  
  
• 組織の VPN サーバーに侵入されて情報漏洩やランサムウェア攻撃のキッカケになった
  

…枚挙にいとまがありません。

 
激安価格な中古ノートパソコン

YouTube 経路で RedLine Stealer ウイルス感染例

無警戒な日本国内のユーザーを吸い寄せる ”橋渡し” になっているのが、動画配信プラットフォーム YouTube です。

普段から利用する検索エンジン （ドメイン名 「google.co.jp」 「search.yahoo.co.jp」 など） を使い、人気のゲームの 「crack」 （クラック） を探すキーワードでググりました。

Google 検索の上位に危険な動画が普通に並ぶ

【YouTube 動画が優遇されて裏目に】
検索結果の表示で自社サービス YouTube の動画を優遇する仕組みが悪用されている。

一方、検索語句は 「チート」 や 「クラック」 に限らない。探し求めるユーザーとダウンロードの需要さえあれば何でもよく、fps を向上してゲームを快適にプレイできるようにするプログラムを餌にゲーマーを陥れる。暗号資産を運用するユーザーを狙うなら、稼げる 「マイニング」 「トレーディング」 用のソフトウェアで興味をひきつける。

水増し操作で再生回数 5,000 超えの人気動画に仕立てられている

【乗っ取られた YouTube チャンネルに危険な動画】
この攻撃を仕掛ける詐欺師は、乗っ取られた YouTube チャンネル に 「RedLine Stealer」 の感染を意図する危険な動画を投稿している。被害者の Windows パソコンから盗まれたブラウザの Cookie を悪用して 2 段階認証を突破して Google アカウントに不正アクセス していると考えられる。

危険な動画の再生回数が数百～数千回に大きく水増しされていたり、コメント欄が動画の内容を称賛するメッセージで溢れ返っていたり、詐欺師の計略で信頼できる ”人気動画” に仕立て上げられていることも多い。

暗号化パスワード付きの .rar 内にポツンとマルウェア

実行ファイル以外のファイルやフォルダーはぜんぶダミー

Discord 有料プランをタダで何とかしたいユーザー狙い撃ち

ダウンロードした配布ファイルの特徴
パスワード付き 圧縮ファイル （拡張子 .zip .rar .7z） アーカイブ内の実行ファイル （拡張子 .exe） が危険 動作環境 Windows XP/Vista/7/8/10/11 ※ mac.OS、Android スマホ、iOS （iPhone / iPad） は影響なし
圧縮ファイル内に無害なファイルやフォルダーを含ませてある場合あり → アプリの配布パッケージっぽく雰囲気までも偽装してユーザーをだます
実行ファイルのサイズが異常に大きい 「数百メガバイト」 → ウイルス対策ソフトが検出不全に陥りやすい → セキュリティ会社や VirusTotal に巨大なファイルの送信が困難 → ユーザー数が多いであろう Microsoft Defender クラウド保護 を突破

【ウイルス感染攻撃を成功裏に導く急所】
ユーザーがダウンロードした直後にセキュリティソフトでファイルをスキャンする
 ↓
ウイルス対策ソフトはパスワード付きの圧縮ファイルを 「無害」 と判定する
（理由： ファイル内部が保護されていてウイルススキャン不可能）

 ↓

判定結果を見たユーザーは問題のない安全なファイルを入手したと確信する恐れ

同じ理由で、圧縮ファイル内に脅威が含まれている危険な状況をオンライン・ストレージの運営元は事前に把握できなくなっていて、利用規約で明確に禁止されているコンピュータウイルス （マルウェア） が様々なオンライン・ストレージにアップロードされ放題になっています。

仮にブラウザやセキュリティソフトが警告や確認を促しても、探し物の 「チートツール」 や 「クラック」 を発見した自分に酔って気分が高揚していたり、セキュリティ意識が麻痺したユーザーさんは立ち止ることなく突っ走る展開になりそうです。

 
激安価格な中古ノートパソコン

乗っ取られた YouTube 動画のサムネイル画像例

強力な道具を持つ詐欺師たちが進行形で活動している
数日～数時間前に準備された新鮮な 「RedLine Stealer」 ウイルスを掴まされてもおかしくなく、Windows 標準のセキュリティソフト Microsoft Defender に脅威を検出させない体制で襲いかかる

脅威を警告する複数のチャンスが明確に潰されている
YouTube 経由でユーザーを巧妙に誘導させて、正当なオンライン・ストレージからパスワード付きの圧縮ファイルをダウンロードさせることで、誰からも妨害されずに 「RedLine Stealer」 ウイルスをユーザーの目の前まで確実に持っていく

実行ファイル （.exe） やスクリーンセーバー （.scr） を開かせる
人間の心理的なスキを突く戦法は俄然有効で、手にしたファイルを 「文書」 「画像」 「動画」 「プログラム」 などと思い込ませることに成功すると、疑うことを知らないユーザーは不正なファイルを躊躇なく開く

関連するブログ記事