2024年8月、大手セキュリティベンダーであるトレンドマイクロは、自社のブログにおいてFacebookアカウントを乗っ取り、そのアカウントを悪用してマルウェアを配布するマルバタイジングの手口を解説しました。

https://www.trendmicro.com/ja_jp/research/24/h/malvertising-campaign-fake-ai-editor-website-credential-theft.html

ソーシャルアカウントの乗っ取りから始まる

マルバタイジングとは「Malware（マルウェア）」と「Advertising（広告）」を組み合わせた造語で、正規の広告ネットワークを利用してマルウェアを配布するサイバー攻撃です。

一般的なマルバタイジングは、攻撃者が身元を偽って広告ネットワークに登録し、表示した広告からマルウェアを拡散します。しかし、今回トレンドマイクロが発見したサイバー攻撃の事例では、最初に影響力のあるFacebookのアカウント「Meta Support Center」を乗っ取って有料広告を掲載しています。

当然ですが乗っ取られたアカウントは本物で、正規の広告ネットワークを使用しています。そのため、その広告が偽物であることに気付くことは非常に困難です。なお、トレンドマイクロでは、この手口を「ソーシャルメディア・マルバタイジング」と呼んでいます。

フィッシングサイトへの誘導

今回のマルバタイジング攻撃では、攻撃者がAIを活用したフォトレタッチソフト「Evoto」の偽広告を配信しています。Evotoはシンガポールのベンダーが開発した正規のソフトであり、マルバタイジング攻撃とはまったく関係ありません。しかし、偽広告ではEvotoの正規なサイトであるかのように見せかけたフィッシングサイトに誘導しています。

フィッシングサイトでは、AI画像ツールのインストーラに偽装したソフトをダウンロードするように促しています。このインストーラを実行すると、リモート監視・管理ソフトウェア「ITarian」がインストールされます。実はITarianも正規のツールで、マルウェアというわけではありません。ところが、設定情報の中に不正な内容が含まれているため、ITarianを悪用して「Lumma Stealer」という情報窃取のマルウェアをダウンロードします。

検知を遅らせる巧妙な手口

ソーシャルメディアのアカウントを乗っ取り、広告を配信する手口は今回が初めてというわけではありません。今回はAIを活用したフォトレタッチソフトでしたが、過去にはGoogleの生成AIサービスなど多くの人が興味を示す内容の偽広告で被害者をおびき寄せ、誘導先のサイトでユーザーに個人情報を入力させるといった攻撃も観測されています。

今回のソーシャルメディア・マルバタイジングでは、正規のアカウントを乗っ取り、有料の広告ネットワーク利用、正規のソフトウェアの悪用など巧妙にユーザーをだますテクニックが使われています。

また、セキュリティ対策ソフトによる攻撃の検知を遅らせるため、フィッシングサイトからダウンロードしてくるインストーラそのものには不正なコンポーネントは含まれていません。しかし、ITarianの設定情報の中に不正な情報が含まれているため、デバイスがリモート管理の対象として登録されると複数のスクリプトが実行される仕組みになっています。その中にはCドライブをMicrosoft Defenderのスキャン対象外にするPythonのスクリプトなども含まれています。これも、攻撃の検知を遅らせる仕組みの一つです。

このように巧妙化するマルバタイジング攻撃への対策としては、次のようなことが考えられます。

ソーシャルメディアアカウントの管理を徹底して乗っ取りを防ぐ

強力なパスワードを設定し、使い回さない。
多要素認証（MFA：Multi-Factor Authentication）の仕組みを取り入れる。

セキュリティ教育の充実

安易な広告クリック、ソフトウエアダウンロードの危険性を学習する。

適切なセキュリティソリューションの導入

侵入を検知する「EPP（Endpoint Protection Platform）」だけでなく、侵入後の挙動検知を実現する「EDR（Endpoint Detection and Response）」を導入する。

欧米で議論が進む「セキュア・バイ・デザイン」と「セキュア・バイ・デフォルト」とは？
https://hypervoice.jp/securebydesign

まとめ

ソーシャルメディアのアカウントを乗っ取るマルバダイジング攻撃が観測されている
影響力のある正規のアカウントから広告を配信しているためユーザーがだまされやすい
検知を遅らせる巧妙な手口が用いられるケースも多い