検索結果に表示される広告を悪用したマルウエアの拡散についてまとめてみた

2022年末以降、一部のマルウエアでGoogleの検索結果に表示される広告サービスを悪用し感染させる手口が増加しているとして、セキュリティベンダやFBIなどが注意を呼び掛けています。ここでは関連する情報をまとめます。

マルバタイジングの一種で、SEO(Search Engine Optimization)ポイズニング、またはSERP(Search Engine Results Page)ポイズニングとも呼ばれることがあり、攻撃者はなりすまし対象のソフトウエア配布先に似せたドメイン名を取得し、これを表示させる広告をGoogleから購入する。
ソフトウエアのインストールを考える利用者は検索サービスでソフトウエアの名前で検索を行うことが一般的だが、攻撃者が用意した広告が検索結果の一番上に表示されることがあり、利用者は誤ってそれをクリックしてしまう場合がある。
広告のクリック先は見た目を含め正規サイトを模倣した偽配布サイトとなっており、利用者は事実に気づけない場合はそのまま偽のインストーラーをダウンロードし実行してしまい、その環境がマルウエアに感染する。
この手口を通じて感染するマルウエアは、インフォスティーラーやRATなどの報告がある。HPによれば、特に2022年11月中旬以降はIcedIDに感染するキャンペーンが増加傾向にあると分析している。*1

以下は偽配布サイトの設置と広告での掲載が報告されていた事例。*2 *3 これ以外に暗号資産関連の事例も複数確認した。

感染するマルウエア	偽の配信が行われたソフトウエア
IcedID	・2022/12/15 AnyDesk 4 ・2023/2/14 Teams 5 以下は2022/12/23にTrend Microが報告。・Adobe ・AnyDesk ・Brave Browser ・Discord ・Fortinet ・GoTo ・Libre Office ・Open Broadcaster Software ・Ring ・Sandboxie ・Slack ・TeamViewer ・Thunderbird 以下は2023/1/18にHPが報告。・Audacity ・Microsoft Teams
RhadamanthysStealer	・2023/1/3 Notepad++ *6
ArkeiStealer	・2022/12/29 AnyDesk *7
VIDAR Stealer	・2022/11/1 GIMP 8 ・2022/12/8 MSI Afterburner9 以下は2023/1/18にHPが報告。・Blender 3D 2022/12/28にGuardioが報告。・AnyDesk ・Open Broadcast Studio ・DashLane ・TradingView
SectopRAT	・2022/11/30 Audacity *10
RedLine Stealer	・2023/1/21 LightShot11 ・2023/2/3 CPUID12 以下は2023/1/17にBleeping Computerが報告。・CCleaner
Racoon Stealer	2022/12/28にGuardioが報告。・Grammarly
不明	・2022/11/24 VLC Media Player 13 ・2022/12/29 Adobe Reader 14 15 ・2023/1/11 AMD Driver 16 17 ・2022/11/11 Brave Browser18 ・2023/1/20 Blender 19 ・2023/1/17 OBS 20 21 ・2023/1/23 AnyDesk 22 以下は2023/1/17にBleeping Computerが報告。・7-zip ・Capcut ・Rufus ・VirtualBox ・WinRAR ・PuTTY

また広告掲載などの報告は確認できていないが、配布サイトとみられるURLより偽ソフトウエアのインストーラー配布サイトが設置されている可能性のあるものは以下の通り。

Internet Crime Complaint Center (IC3) | Cyber Criminals Impersonating Brands Using Search Engine Advertisement Services to Defraud Users
FBIは2022年12月21日に Public Service Announcementを発行し、広告を悪用した今回の手口についてクリックする際は注意が必要だと呼び掛けている。
FBIの保護推奨策は以下の通り。この推奨策を受けてFBIが広告ブロックの利用を呼び掛けたとして話題になっていた。*23

広告から誘導される個人に対しての推奨策	・広告クリック前にURLを確認し、正規サイトであることを確認する。・企業や金融機関名で検索をしない。URLを直接入力し、公式サイトへアクセスする。・インターネット検索利用時は広告ブロッカーを使用する。
偽配布サイトを設置される組織に対しての推奨策	・ドメイン保護サービスを利用し、なりすましドメイン登録時に通知を受ける。・偽サイトの存在や正規URLの確認の重要性について利用者への教育を行う。・正規のダウンロード先を利用者へ周知する。