ChromeLoaderマルウェアが世界中に広がり、WindowsとMacの両方を攻撃

今月、ChromeLoader マルウェアは今年初めから着実に大混乱を引き起こし、その数が増加しています。これにより、ブラウザハイジャックが広範囲にわたる脅威となります。

ChromeLoader は、被害者の Web ブラウザ設定を変更して、ジャンクウェアを宣伝する検索結果を表示したり、偽の調査サイトや偽の景品サイトで自動実行を実行したり、アダルトゲームや出会い系サイトを宣伝したりするブラウザハイジャッカーの一種です。

このマルウェアの背後にいる者は、アフィリエイトマーケティングシステムを通じて金銭的利益を受け取ることになります。

このタイプのマルウェアは数多く存在しますが、ChromeLoader はPowerShellを積極的に悪用するため、その永続性、規模、感染経路が際立っています。

PowerShellの悪用

2月からChromeLoaderの活動を追跡しているRed Canaryの研究者によると、攻撃者は悪質なISOアーカイブファイルを使用して被害者にマルウェアを感染させるという。

通常、悪意のある ISO ファイルは、被害者が自分でダウンロードしてアクティブ化できるように、クラックされたソフトウェアやゲームを装います。 Twitter には、マルウェアのダウンロードページに直接誘導する QR コードが付いた、クラックされた Android ゲームの広告さえあります。

ChromeLoaderマルウェアが世界中に広がり、WindowsとMacの両方を攻撃 — ChromeLoaderの実行方法

ユーザーが悪意のある ISO ファイルをダブルクリックすると、仮想 CD-ROM ドライブとしてマウントされます。 .exe 拡張子の実行可能ファイルが含まれます。実行すると、ChromeLoader が起動し、リモートリソースキャッシュファイルを取得してGoogle Chrome拡張機能としてロードする機能を持つ PowerShell コマンドがデコードされます。

完了すると、PowerShell は、ブラウザに静かに侵入して検索結果を操作したり、その他のアクションを実行したりできる拡張機能で Chrome を感染させたスケジュールされたタスクを削除します。

macOSも脆弱

ChromeLoader の開発者は、macOS を実行しているコンピューターもターゲットにしています。彼らは、macOS 上で実行されているChrome とSafari の両方を操作したいと考えています。

macOS での感染チェーンは Windows での感染チェーンと似ていますが、ISO ではなく、Apple のオペレーティングシステムでより一般的な形式である DMG (Apple ディスクイメージ) ファイルを使用します。

さらに、macOS 上の ChromeLoader バリアントは、インストーラーを実行する代わりに、インストーラーの bash スクリプトを使用して、ChromeLoader 拡張機能を「private/var/tmp」ディレクトリにダウンロードして解凍します。

可能な限り長く存在し続けるために、ChromeLoader は設定ファイル (「plist」) を「/Library/LaunchAgents」フォルダに追加します。これにより、ユーザーがグラフィカルセッションにログインするたびに、ChromeLoader Bash スクリプトが継続的に実行されるようになります。

拡張機能を確認して削除するには、次の手順に従います。