ウイルス対策ソフトが「気づけない」攻撃が広がっている
ウイルス対策ソフトを入れているから安心、と思っていませんか？
その前提を揺さぶる攻撃手法が、今まさに広がっています。
偽の投資・暗号資産サイトを踏み台にした大規模なマルウェア配布キャンペーンが確認され、セキュリティ研究者たちの間で注目を集めています。
何が起きているのか
セキュリティメディア「BleepingComputer」が報じたところによると、Solana（ソラナ）、Luno（ルノ）、TradingView（トレーディングビュー）などの有名サービスを模倣した偽サイトが多数作られ、悪意ある広告（マルバタイジング）を通じてユーザーを誘導する大規模キャンペーンが展開されているとのことです。
この攻撃の最大の特徴は、マルウェアをファイルとしてダウンロードさせるのではなく、JavaScriptを使ってブラウザのメモリ内で直接組み立てるという点にあります。
ざっくり言うと、こういう流れです。
- 悪意ある広告やリンクを経由して、偽サイトへ誘導される
- サイト内のJavaScriptが、バラバラに分割された悪意あるコードを読み込む
- それらをブラウザのメモリ上で結合し、マルウェアとして動作させる
- ディスク（ストレージ）にはファイルが保存されないまま攻撃が完結する
「ファイルレス（fileless）マルウェア」と呼ばれる手法の一種で、以前から存在は知られていましたが、今回のように大規模なマルバタイジングキャンペーンと組み合わせた事例は改めて警戒が必要です。
なぜこれが厄介なのか
従来のウイルス対策ソフトは、主に「怪しいファイル」を検知することで機能します。
しかしメモリ上でのみ動作するマルウェアは、ディスクに痕跡を残しません。
そのため、パターンマッチング型の検知をすり抜けやすいという根本的な問題があります。
さらに今回ターゲットとされているのが、SolanaやTradingViewといった暗号資産・投資系サービスというのもポイントです。
これらのサービスのユーザーは、ウォレット情報や取引アカウントの認証情報を狙われるリスクが特に高いと考えられます。
また、偽サイトはデザインの精度が高く、URLや画面の見た目だけでは本物と区別がつきにくいケースも報告されています。
「ちょっと確認しようと思ってアクセスしただけ」という状況でも被害を受けうる点が、この攻撃の怖いところです。
自分には関係ある？ 一般ユーザーへの影響を整理する
正直に言えば、今回の攻撃は「誰でも等しく被害を受ける」性質のものではありません。
主なリスク要因は以下のとおりです。
- 暗号資産ウォレットや投資プラットフォームを日常的に使っている
- 検索広告や外部リンクから投資・金融系サイトへアクセスすることが多い
- ブラウザの拡張機能を多数インストールしており、スクリプトの実行を制限していない
上記に当てはまるユーザーは、今回の手口を意識しておく価値があります。
一方、暗号資産や投資ツールを使っていない方にとっては、直接の影響は限定的といえます。
今すぐできる対策
難しい設定は不要です。まず意識したいのは以下の点です。
アクセス経路を確認する習慣を持つ
検索結果の「広告」枠に表示されたリンクや、SNS・メールで送られてきたリンクから金融系サービスにアクセスするのは避けましょう。
ブックマークや公式アプリからのアクセスが基本です。
ブラウザのJavaScriptを一律に無効にする必要はないが、怪しいサイトでは注意する
JavaScriptは現代のWebには欠かせない技術なので、全面的に無効化するのは現実的ではありません。
ただし、見覚えのないサイトで「スクリプトを許可してください」などのポップアップが出た場合は、すぐ閉じるのが賢明です。
セキュリティソフトの「振る舞い検知」機能を活用する
ファイルベースの検知だけでなく、プログラムの動作そのものを監視する機能を持つセキュリティソフトは、ファイルレスマルウェアへの対応力が相対的に高いとされています。
使用しているソフトがそうした機能に対応しているか、確認してみるとよいでしょう。
今後の見通し
ファイルレスマルウェアとマルバタイジングの組み合わせは、攻撃者にとって「コスパのよい手口」と見なされており、今後も類似した攻撃が増加すると考えられます。
ブラウザ側（ChromeやFirefoxなど）もセキュリティ強化を続けていますが、JavaScriptの柔軟性はWebの利便性そのものでもあるため、根本的な制限は難しいのが現状です。
セキュリティソフトベンダー各社も対応パターンの更新を急いでいるとみられますが、新しい攻撃に対して検知が追いつくまでのタイムラグは常に存在します。
結局のところ、技術的な防御だけに頼るのではなく、怪しいリンクを踏まない、公式ルート以外からアクセスしないという基本的な習慣が、今回のような攻撃に対して最も有効な「最初の壁」になります。
まとめ
- 偽のSolana・TradingViewなどのサイトを使い、JavaScriptでブラウザのメモリ内にマルウェアを組み立てる攻撃が確認された
- ファイルをダウンロードしないため、従来のウイルス対策ソフトでは検知しにくい
- 暗号資産・投資サービスのユーザーは特に注意が必要
- 対策の基本は「広告経由でのアクセスを避ける」「公式アプリやブックマークを使う」こと
- セキュリティソフトは振る舞い検知に対応したものが有効とされている
Web上の脅威は年々巧妙になっています。
「自分は関係ない」と思わず、日頃のアクセス習慣を一度見直してみてください。
出典: BleepingComputer「Malicious sites use JavaScript to build malware in browser memory」
https://www.bleepingcomputer.com/news/security/malicious-sites-use-javascript-to-build-malware-in-browser-memory/
