ハッカーが偽のポケモン NFT ゲームをプッシュして Windows デバイスを乗っ取る

攻撃者は、巧妙に作成されたポケモン NFT カードゲームの Web サイトを使用して、NetSupport リモートアクセスツールを配布し、被害者のデバイスを制御しています。

これを書いている時点でまだオンラインであるウェブサイト「pokemon-go[.]io」は、ポケモンフランチャイズを中心に構築された新しいNFTカードゲームの本拠地であると主張しており、NFTの投資利益とともに戦略的な楽しみをユーザーに提供しています.

ポケモンと NFT の両方の人気を考えると、悪意のあるポータルの運営者がマルスパムやソーシャルメディアの投稿などを通じてサイトに視聴者を引き寄せることは難しくありません。

「PC でプレイ」ボタンをクリックすると、正規のゲームインストーラーのように見える実行可能ファイルがダウンロードされますが、実際には被害者のシステムに NetSupport リモートアクセスツール (RAT) がインストールされます。

この操作はASECのアナリストによって発見され、「beta-pokemoncards[.]io」というキャンペーンで使用された 2 つ目のサイトもあったと報告されていますが、その後オフラインになりました。

このキャンペーンの活動の最初の兆候は 2022 年 12 月に現れましたが、VirusTotal から取得された以前のサンプルは、同じオペレーターがポケモンゲームではなく偽の Visual Studio ファイルをプッシュしたことを示していました。

NetSupport RAT のドロップ

NetSupport RAT 実行可能ファイル (「client32.exe」) とその依存関係は、%APPDATA% パスの新しいフォルダーにインストールされます。これらは「非表示」に設定されており、ファイルシステムで手動検査を実行している被害者からの検出を回避するのに役立ちます。

さらに、インストーラーは Windows スタートアップフォルダーにエントリを作成し、システムの起動時に RAT が確実に実行されるようにします。

NetSupport RAT (NetSupport Manager) は正当なプログラムであるため、攻撃者は一般に、セキュリティソフトウェアを回避することを期待してこれを使用します。

攻撃者は、リモートでユーザーのデバイスに接続して、データを盗んだり、他のマルウェアをインストールしたり、さらにはネットワーク上で拡散を試みたりすることができます。

NetSupport Manager は正当なソフトウェア製品ですが、攻撃者が悪意のあるキャンペーンの一部として一般的に使用されています。

2022 年 8 月、偽の Cloudflare DDoS 保護ページを含むWordPress サイトを標的としたキャンペーンにより、被害者に NetSupport RAT と Raccoon Stealer がインストールされました。

NetSupport Manager は、リモート画面コントロール、画面録画、システム監視、より良いコントロールのためのリモートシステムグループ化、およびネットワークトラフィックの暗号化を含む多数の接続オプションをサポートしています。

とはいえ、このような感染の結果は広範かつ深刻であり、主にユーザーの機密データへの不正アクセスと、さらなるマルウェアのダウンロードに関するものです。