偽の Windows アプリ ウェブサイトが PowerToys、Wintoys などを標的に

PowerToys、Wintoys、CrystalDiskMark、WinUtil、FreeFileSyncなど、複数の人気ユーティリティを装った偽のWindowsアプリ配布サイトが確認されています。

報告によると、70以上の関連ドメインが同一の連絡用メールアドレスを共有しており、一つのグループがこの組織的なネットワークを管理している可能性が示唆されています。これらのWebサイトは正規のWindowsアプリケーションの名称やブランドを無断で流用していますが、実際の開発者は運営に関与していません。

一部のサイトはまだ準備中の状態であり、この活動が最近開始されたか、開発段階にあることを示している可能性があります。

偽のWintoysサイトがフィッシング警告を表示

Wintoysの開発者であるBogdan_X氏が、wintoys.appというドメインを使用した無許可のWebサイトを発見しました。

このWebサイトにはWintoysに関する不正確な情報が含まれており、アプリケーションの開発者とは一切関係がありません。発見当初、サイトのダウンロードボタンは、Microsoft Store上の正規のWintoysのページへ誘導していました。

しかし、Cloudflareはこのドメインがフィッシングの疑いがあると警告を表示しました。Bogdan_X氏はドメインレジストラにこれらのドメインを報告しました。レジストラは一度ドメインを停止しましたが、Webサイトはその後別のレジストラに移行し、運営を継続しました。

70以上のドメインがWindowsユーティリティを標的に

このネットワークは、幅広いWindowsツールやオープンソースアプリケーションを装ったWebサイトを含んでいると報告されています。

標的とされているアプリケーションは以下の通りです。

• PowerToys
• CrystalDiskInfoとCrystalDiskMark
• Chris Titus TechのWindowsユーティリティ
• NirSoftツール群
• EasyBCD
• Hashcat
• Darktable
• HddSentinel
• GUIFormat
• Move Mouse
• Quick Assist
• FreeFileSync
• SpaceSniffer

プロフェッショナルなデザインと認知度の高い製品名によって、ソフトウェアのダウンロードを検索しているユーザーには、これらのWebサイトが本物のように見えてしまう可能性があります。

一部のドメインは検索結果に表示されたり、AIが生成する回答に登場したりする可能性もあり、ユーザーが本物の開発者サイトではなく非公式のページを訪問する可能性が高まります。

ネットワークの目的は依然として不明

研究者らは、これらのWebサイトが現在マルウェアを配布していることを確認していません。いくつかのダウンロードボタンは、依然として正規のストアや公式のダウンロード先へ訪問者を誘導しています。

関係者は、運営者が検索トラフィックを構築して信頼を確立した後、正規のリンクを悪意のあるインストーラーに置き換えようとしているのではないかと考えています。攻撃者は、情報窃取型マルウェアやリモートアクセスツールなどのマルウェアを配布するために、偽のソフトウェアサイトを利用することがよくあります。

偽のソフトウェアダウンロードサイトを回避する方法

Windowsユーザーは、開発者の公式Webサイト、GitHubリポジトリ、Microsoft Storeなどの公式ソースからのみアプリをダウンロードする必要があります。

ドメイン名は慎重に確認し、類似しているように見えるものは偽物の可能性があるため注意が必要です。検索順位やプロフェッショナルなデザインは、正当性を保証するものではありません。インストール前に、公式SNS、GitHub、ドキュメントを通じてリンクを検証してください。

他のセキュリティ関連ニュースでは、ホテルのWi-Fiネットワークを乗っ取り、Microsoft 365アカウントを盗み出す手口が確認されています。また、Chaosランサムウェアの活動でも、ChromeやEdgeの動作に紛れて悪意のあるトラフィックを隠蔽するmsaRATの使用が開始されています。

Via Neowin