検索で見つけた「最新のAIアプリ」が偽物で裏でパソコンを勝手に使われていた話

新しいAIのアプリが出たと聞くとつい試してみたくなりますよね。

正直に言うと私もその口で新しい名前を見かけるとすぐ検索してしまいます。

ですがその検索結果の上位に偽物が紛れ込んでいたという報告がCheckPoint Researchから出ていました。

本物そっくりのダウンロードページ

攻撃者はプログラムの公開によく使われる有名なサイト上に「最新版のAIアプリ」をうたうページを作っていました。

有名な生成AIのパソコン版アプリを名乗っていて見た目ではほとんど区別がつきません。

しかも検索サイトで上位に表示されるよう細工されていたとみられています。

ダウンロードしたZIPファイルの中には本物の正規アプリと一緒に悪意のある部品（DLLファイル）が入っていました。

正規アプリを起動するとその部品も一緒に読み込まれてしまう「DLLサイドローディング」という昔からある手口です。

本物の署名付きアプリが入り口になるので怪しさに気づきにくいのが厄介なところです。

気づかないうちにパソコンを使われる

感染するとWindows Media Playerの関連作業に見せかけた予約タスクが登録されます。

パソコンを起動してから約3分後に動き出すように設定されていたそうです。

今回見つかった最終的なプログラムは仮想通貨を掘るためのいわゆる「マイニング」用のものでした。

つまり会社のパソコンの処理能力を知らない誰かのために勝手に使われてしまいます。

人がパソコンを操作している間は止まる仕組みもあるとのことで気づくのはなかなか難しいと思います。

そしてこの仕組みは中身を差し替えれば別の悪いプログラムも送り込めるように作られていました。

今回はマイニングでも次はもっと深刻なものに変わるかもしれません。

報告の時点ではセキュリティ製品による検出率もかなり低かったとのことです。

この活動は約2か月にわたって観測されていたそうです。

対策として一番効くのは地味ですが「公式サイト以外からアプリを入れない」ことです。

検索結果の一番上だから安全とは限りません。

インストールの途中で「管理者として実行してください」と求められたら一度手を止めて詳しい人に確認してください。

会社としては社員のパソコンに誰でも自由にソフトを入れられる状態を見直すのも効果があります。

元記事でも知らない入手元のソフトを実行させないルール作りと社員への注意喚起の両方が大事だとまとめられていました。

とはいえ縛りすぎると仕事が回らなくなるのでそのさじ加減は会社ごとに悩ましいところかなと思います。

社内のパソコンにどんなソフトが入っているか気になった方は弊社までご相談ください。

参考：CheckPoint Research（英語）