Windows Defenderを装い悪質なWindowsアプリへ誘導する詐欺に注意

ネットの安全, 組織のセキュリティ対策, 脅威情報
2021.5.21

1 サマリー
2 保護されていますか？
3 安全に利用するためのヒント
4 参照IOC

サマリー

Windowsプッシュ通知を利用して正規のアラートに偽装する詐欺が増えています。
最近のキャンペーンでは、Windows Defenderのアップデートを装っています。
被害者は、ユーザーとシステムの情報を標的とする悪質なWindowsアプリケーションのインストールを許可することになります。

ブラウザのプッシュ通知は、Windowsシステムの通知に非常によく似ています。先日ご紹介したように、この詐欺はプッシュ通知を乱用してユーザーにアクションを促します。最近の例では、偽のWindows Defender更新プログラムをインストールさせるために、ソーシャルエンジニアリングの手法が用いられています。トレーに表示されたポップアップによって、ユーザーにWindows Defender の更新を通知します。

メッセージをクリックすると、偽の更新Webサイトに移動します。

このサイトは、署名されたms-appinstaller（MSIX）パッケージを提供しています。ダウンロードして実行すると、「Publisher：Microsoft」から提供するとされるDefender Updateをインストールするようユーザーに促します。

インストール後、他のWindowsアプリと同様に、「Defender Update」アプリがスタートメニューに表示されます。

ショートカットはインストールされているマルウェアを示します：
C：\ Program Files \ WindowsApps \ 245d1cf3-25fc-4ce1-9a58-7cd13f94923a_1.0.0.0_neutral__7afzw0tp1da5e \ Bloom \ Eversible.exe
これは、さまざまなアプリケーションや情報を標的としてデータを盗むトロイの木馬です。

システム情報（プロセスリスト、ドライブの詳細、シリアル番号、RAM、グラフィックカードの詳細）
アプリケーションプロファイルデータ（Chrome、Exodus wallet、Ethereum wallet、Opera、Telegram Desktop）
ユーザーデータ（クレジットカード、FileZilla）

保護されていますか？

Real Protect Cloudを利用しているマカフィーのお客様は、機械学習によりこの脅威から積極的に保護されています。
webプロテクション（マカフィーウェブアドバイザーおよびMcAfee Web Controlを含む）を利用しているマカフィーのお客様は、既知の悪質なサイトから保護されています。
McAfee Global Threat Intelligence (GTI)は、非常に低い測定量での保護を提供します。

安全に利用するためのヒント

参照：ポップアップを停止する方法
詐欺の手口は非常に巧妙です。即座にブロックし、一方で、時間をかけて判断してから許可した方がよいでしょう。
疑わしい場合は、自分自身で対策しましょう。
- Windows Updateは、[スタート]メニューをクリックし、「更新プログラムの確認」と入力して、[システム設定]のリンクをクリックします。
- 送信されてきたリンクをクリックするのではなく、Webアドレスを手動で入力します。
- 電話やメールなどは、連絡する前に番号とアドレスを確認してください。