今週、CTIは、 2024年後半に台頭した「FunkSec」という新たなランサムウェアグループについて取り上げます。 続いて、CTIは、Google Adsを通じて広告を掲載している企業や個人を標的とした、新たなマルウェア広告キャンペーンの詳細についてご紹介します。 最後に、CTIは、脅威アクターが情報窃取型マルウェアを配布するために、偽のソフトウェアやインストーラーをますます多用している実態を明らかにしています。
FunkSecランサムウェアが世界中の被害者を脅かしています
Check Point Security（ （新しいタブで開きます） ）の研究者たちは、FunkSecについて警鐘を鳴らしています。これは、AIを利用してマルウェアを開発していると思われる、による新たなランサムウェア攻撃です（ （新しいタブで開きます） ）。
チェック・ポイントによると、FunkSecは12月に 85 人以上の被害者を出しました。 しかし、入手可能な情報の一部は過去のリーク情報を再利用したものであるため、これらの主張の信憑性には疑問が残ります。
FunkSecランサムウェアとは何ですか？
今日の多くのランサムウェアグループと同様、FunkSecも二重恐喝の手口を用いています。 しかし、他のグループとは異なり、このグループは身代金の要求額が低く、中にはわずか10,000ドルというケースもあるようです。
このグループの活動や、ダークウェブ上での同グループに関する議論を詳しく見てみると、その動機はサイバー犯罪とハクティビズムの境界線上にあることがわかります。 チェック・ポイントはまた、FunkSecの中核となる活動は、経験の浅い攻撃者によって行われている可能性が高いと指摘しています。 ランサムウェアに加え、このグループは、スマートなパスワード生成ツール、スクレイピングツール、 による分散型サービス拒否（DDoS）攻撃ツールなど、いくつかのツールを提供しています。 （新しいタブで開きます）。
FunkSecのランサムウェアは急速に進化しており、各バージョンの公開間隔はわずか数日しかありません。 最新バージョンである v1.5は、検出率が低いとされています。 チェック・ポイントはサンプルを入手し、開発作業が現在も進行中であり、経験の浅いマルウェア開発者によるものと思われると判断しました。
また、チェック・ポイントは、確認したランサムウェアのすべてのバージョンがアルジェリアからアップロードされていたことも突き止めました。これは作者の身元を示す可能性があり、やはり経験の浅いグループによるものであることを示唆しています。
AIを活用したマルウェア開発
FunkSecは、マルウェアの機能を強化するために、 のAI機能（ （新しいタブで開きます）、、 ）を多用しているようです。 Check Point社は、自社の公開スクリプトには、完璧な英語で書かれたコードコメントが多数含まれていることに気づきました。これらは、LLMエージェントによって生成された である可能性が高いと考えられます。 （新しいタブで開きます）。 同様のパターンは、彼らのランサムウェアにリンクされているソースコードにも見られ、これもAIの助けを借りて作成されたものとみられています。
同グループが公開した他のメッセージでは、ランサムウェアの開発を特にAIと結びつけています。 これは、同グループによるこれまでの公的な主張とも一致しています。特に、同グループは活動をさらに支援するためにAIチャットボットを公開したことから、その傾向は顕著です。
[関連記事：AI時代におけるCISOのための 4 の重要なリーダーシップ課題] (新しいタブで開きます)
FunkSecはどのように機能するのでしょうか？
チェック・ポイントは、現在流通しているFunkSecランサムウェアのサンプルについて詳細な分析を行い、以下のことを突き止めました：
- FunkSecは、本質的にはRustのバイナリを極限まで簡素化したものであり、リバースエンジニアリングがより困難となっています。 制御フローが繰り返し行われ、関数が何度も呼び出されるため、研究者たちはこのバイナリに冗長性があることに特に驚きました。
- マルウェアが必要な管理者権限を取得した後、Windows Defender やセキュリティイベントのログ記録、アプリケーションイベントのログ記録などを無効にするために、いくつかのコマンドを実行します。 また、ハードコードされたリストに含まれるプロセスも終了させます。
- このマルウェアは、各ドライブを順に調べ、標的とされたファイル拡張子のいずれかを持つすべてのファイルを暗号化します。 暗号化されたファイルには、
.funksecという拡張子が付きます。 その後、マルウェアは身代金要求メッセージをディスクに書き込みます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
FunkSecは先月の出現以来、複数の被害者を出したと主張していますが、こうした主張の正当性や正確性には疑問が残ります。
チェック・ポイントの調査によると、このグループはいくつかの理由から、他のグループほど高度な技術を持っていないことが示されています。特に、 において、AIを多用している点が挙げられます。 （新しいタブで開きます）。 昨年、脅威アクターは、研究者が予想していたほどAIを活用していませんでした。少なくとも、高度な方法で活用していたわけではありませんでした。 攻撃者たちがAIを利用する主な理由は、より複雑なマルウェアやランサムウェアを作成するためというよりは、むしろ技術力の不足によるものだと考えられます。
Google Adsのユーザーを標的としたマルウェア広告詐欺
Malwarebytesは先日、Google Adsを利用して広告を掲載している個人や企業を標的とした新たなマルウェア広告キャンペーンに関する情報を公開しました。 （新しいタブで開きます）
このキャンペーンは、広告を装って被害者をフィッシングページに誘導し、Google Adsアカウントを乗っ取ろうとするものです。 Malwarebytes社は、これらの盗まれたアカウントをアンダーグラウンドのフォーラムで販売し、悪用することが最終的な目的である可能性があると見ています。
[関連記事：サイバーセキュリティにおけるソーシャルエンジニアリングとは？ 【完全ガイド】 （新しいタブで開きます）
サイバー犯罪者がGoogle Adsを装う手口
Malwarebytesは、Googleアカウントに関連する不審な動きを、偶然に初めて発見しました。 同社は、この活動の源をGoogle Adsの悪意のある広告に特定しました。
Google Adsのスポンサー広告は一見正規のものに見えますが、広告主の詳細を確認するためにその横にある3つのドットをクリックすると、そのアカウントが乗っ取られていることがわかります。 この広告には、Googleによって身元が確認された広告主によって掲載されていると記載されています（実際のアカウントであるため、これは事実です――ただ、そのアカウントが乗っ取られているだけですが）。しかし、広告主として表示されているのはGoogle自体ではなく、個人の名前となっています。
使用されるルアーやフィッシングの手口
被害者が悪意のある広告のいずれかをクリックすると、Google Adsのトップページとよく似たページに誘導されてしまいます。 このサイトは「sites.google[.]com」でホストされており、その信頼性を高めています。 これらのページには、「今すぐ開始」というラベルの付いた別のボタンがあり、これをクリックすると、ユーザーは のフィッシングサイト （新しいタブで開きます） にリダイレクトされます。 このページは、被害者のGoogle Adsの認証情報を盗み出し、それを脅威アクターが管理するリモートサーバーに送信することを目的としています。
Google Adsのマルウェア広告キャンペーンの背後には、一体誰がいますか？
Malwarebytesは、このキャンペーンを展開しているサイバー犯罪者グループを2つ特定しました：
- 最初のグループ「 」は、ブラジルを拠点に活動しているとみられるポルトガル語を話す俳優たちで構成されています。 Malwarebytesは、わずか数日の間に、このグループによる 50 件以上の不正なGoogle広告を報告しました。
- 2つ目のグループ「 」は、香港の広告アカウントを利用しており、アジアを拠点に活動していると考えられています。 これらは同様の配信チェーンを採用していますが、フィッシングキットそのものは異なります。
さらに、Googleサイトではなく、偽のCAPTCHAを利用した、これに関連する3つ目のキャンペーンが存在します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Malwarebytesが指摘しているように、盗まれたGoogle Adsアカウントはサイバー犯罪者の間では非常に高い価値を持っており、これが、こうした乗っ取られたアカウントを悪用するキャンペーンが数多く行われている理由となっています。
Google Adsアカウントを乗っ取ることで、攻撃者は不正な広告の掲載にかかる費用を回避し、その負担を乗っ取られたアカウントの所有者や企業に転嫁しています。
マルウェア広告はここ数ヶ月間、 （新しいタブで開きます）、あるいはここ数年、増加傾向にあります。このキャンペーンは、検索エンジンの検索結果、特にスポンサー広告として表示されるリンクをクリックする際には、細心の注意を払う必要があることを改めて認識させるものです。
攻撃者は、偽のソフトウェアやインストーラーを利用してマルウェアを拡散させています
トレンドマイクロの最新レポート『 』（新しいタブで開きます） では、情報窃取型マルウェアを配布する手段として、偽のソフトウェアやインストーラーがもたらす脅威の高まりについて検証しています。
トレンドマイクロによると、攻撃者はYouTubeやさまざまなソーシャルメディアサイトを利用して偽のインストーラーへのリンクを共有すると同時に、信頼性の高いファイルホスティングサービスを活用してマルウェアの出所を隠蔽しているとのことです。
犯人たちは、YouTubeなどのプラットフォームにプロフィールを作成することで、被害者になりそうな人々を騙して偽のインストーラーをダウンロードさせることがよくあります。 トレンドマイクロによると、こうしたプロフィールには、動画の説明欄やコメント欄にある悪意のあるリンクをクリックするよう、被害者をさらに誘導するインストール手順の解説が頻繁に掲載されているとのことです。 あるケースでは、コメント欄にあるリンクが被害者を別のYouTubeページに誘導し、そこで偽のインストーラーのダウンロードリンクが表示されます。
被害者が偽のインストーラーのリンクをクリックすると、正規のMediaFireホスティングサイトからファイルがダウンロードされます。 その他の確認された事例では、その脅威はファイルホスティングサイト「Mega」にアップロードされていました。
トレンドマイクロでは、被害者が検索エンジンを通じてインストーラーを検索している最中に、うっかり偽のインストーラーに遭遇してしまう事例も確認されています。 このような場合、その結果は、NFTマーケットプレイスの「OpenSea」や、音楽共有プラットフォームの「SoundCloud」といったサイトで確認できます。
[Read also: Top 10 bold cybersecurity predictions for 2025] (opens in a new tab)
偽のソフトウェアインストーラーによる感染分析の事例
この脅威に関するトレンドマイクロのレポートでは、ダウンロードが成功し、コンテンツが問題なく実行された2つのシナリオを分析しており、その全過程について貴重な知見を提供しています。
- 大規模なインストールファイルによる検知回避
トレンドマイクロが確認したある事例では、解凍後のインストーラーファイルのサイズは 900 MBでした。 この大容量のファイルは、正規のインストーラーファイルにより酷似しているため、防御策を回避し、サンドボックス分析をすり抜ける可能性があります。.zip（）内の実行ファイルが起動されると、感染が始まります。
実行されたバッチファイルの1つを調査したところ、トレンドマイクロは、そのファイルに難読化された記述が含まれていることを発見しました。 バッチファイルを解析した結果、研究者たちは、このバッチファイルがファイルを結合してAutoItスクリプトを生成し、それを実行することで、追加のファイルが書き込まれることが判明しました。 その後、プロセスインジェクションを実行し、ブラウザ環境からデータを盗み出し、複数の C2 アドレスとの接続を確立することができます。 - 圧縮ファイルのダウンロード
別の事例では、被害者が有名なホスティングサイトから圧縮ファイルをダウンロードしたことをきっかけに感染が始まりました。
ファイルを解凍し、パスワードを入力すると、インストーラーが実行されます。 このインストーラーは、コードを注入するための正規のプロセスを生成し、AutoItを導入した上で、その C2 に接続してさらなるマルウェアをダウンロードします。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
脅威アクターたちは、以前から偽のインストーラーやクラック版ソフトウェアを利用してマルウェアを配布してきましたが、このことから、この手法がある程度は効果を上げていることがうかがえます。
トレンドマイクロが分析したこれらのキャンペーンは、GitHubのリポジトリのコメントを悪用するものと類似しています。 こうしたキャンペーンは、ユーザーがこれらのプラットフォームに対して抱く高い信頼心を悪用しているため、個人が何をダウンロードしているのかを把握することが、ますます重要になっています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
