CAPTCHAからのマルウェア｜ブログ(ほぼこもセキュリティニュース)

CAPTCHAはチャレンジ/レスポンス型テストの一種で、応答者がコンピュータではなく生身の人間であることを確認するために使われます。
いろいろなWebサイトがこれを設置しています。
通常は申し込みサイトなどで不必要なボットの活動を抑止する目的で設置されていたりします。
このCAPTCHAが、そういった目的ではないところで利用されはじめています。

海賊版やクラック版のゲームというものがあります。
本来は有償で提供されているものを不正に利用できてしまうようにしたものです。
そういった海賊版やクラック版のゲームの提供サイトでCAPTCHAが使われています。

CAPTCHAは自動処理での通過が容易ではないため、その特性が良くないほうに作用してしまいます。

CAPTCHAがあると守られている感じがする
海賊版のソフトウェアを入手しようとする人が守られることを気にするのもおかしな話に思えますが、CAPTCHAはサイトの閲覧者に安心感を与えます。
実際にCAPTCHAで守られています。
守られているのはサイトの閲覧者ではなく、サイトのコンテンツがウイルススキャンされにくい環境を提供していることになります。

そして、海賊版のソフトウェアを入手して利用しようという人は、さまざまな通常ではない行動をとることになります。

ファイルのダウンロードの前にセキュリティを低下させる
不正なソフトウェアを入手しようとしているわけですので、提供者の提示する手順にアンチウイルス機構の停止が書かれていれば、サイトの閲覧者はそれに従います。
安全が低下していることを気にするよりも、不正なソフトウェアの入手のほうに意識が向かっています。
入手したファイルを実行する
海賊版を入手した後、よくある作業としてexeの実行のような手順が必要となります。
これは正規のソフトウェアの安全対策機能を無効化するものだったり、使用環境で有効なキーを生成するものだったりします。
このため、海賊版の入手者はダウンロードしたものを実行します。
しかし、この行為は、アンチウイルスの停止した環境でマルウェアを設置する活動となってしまっています。

最近、CAPTCHAの設置された海賊版サイトだと思ったら、配布しているものはマルウェアだったという事例が確認されています。
今回確認されたマルウェアはLumma Stealerでした。
Lumma Stealerはインフォスティーラー型マルウェアです。
ログイン認証情報、ブラウザのCookie、保存されたパスワード、暗号通貨ウォレットからの情報などの機密データを持ち出します。
このマルウェアには、コマンドアンドコントロールサーバーとの通信を暗号化したり、難読化技術を使用してウイルス対策プログラムによる検出を回避したりするなど、さまざまな回避策が採用されていますが、このCAPTCHAの設置がさらなる活動のしやすさを実現してしまっています。

実施したいことに意識を集中させて罠にはめる、そんな感じでしょうか。
気をつけようと思います。