Defend what you create

その他

  • free.drweb.co.jp: 無料ユーティリティ、プラグイン、インフォーマー
  • av-desk.com: Dr.Web AV-Deskサービスプロバイダーのためのインターネットサービス
  • curenet.drweb.co.jp:ネットワーク修復ユーティリティDr.Web CureNet!
閉じる

マイライブラリ
マイライブラリ

+ マイライブラリに追加

電話
24時間体制サポート | テクニカルサポート利用方法

お問い合わせ履歴

電話する

+7 (495) 789-45-86

Profile

ニュース一覧に戻る

Counter-Strikeのプレーヤーにトロイの木馬警告

2011年08月10日掲載

株式会社Doctor Web Pacific


Doctor Webは、ユーザーのコンピューターをマルウェアに感染させる新たな手法を検出しました。今回狙われたのはCounter-Strike 1.6のプレーヤーです。プレーヤーがあるゲームサーバーに接続するとトロイの木馬を含んだファイルがダウンロードされます。

通常、Counter-Strikeサーバーとの接続が確立されると、ユーザーはゲームに必要なコンポーネントをリモートホストからダウンロードします。その際、ユーザーに対して2つの実行ファイル(svhost.exebot2.exe)と、今年の始めにCounter-Strike.cmdとして配信されたadmin.cmdファイルをダウンロードするように促すブラウザウィンドウが表示されます。このような動作は正常なCounter-Strikeには見られませんので注意してください。

screenshot
screenshot

Doctor Webのウイルスアナリストによる分析で、次のような手法が明らかになりました。攻撃者グループがCounter-Strikeのゲームサーバーをセットアップし、トロイの木馬Win32.HLLW.HLProxyを配信します(これは少し前に「便利な」アプリケーションとしてCounter-Strikeプレーヤーの間で広がり、多くの人が進んで自分のパソコンにダウンロード、インストールしたものです)。

このトロイの木馬の配布方法は若干風変りでもあります。ユーザーがゲームサーバーに接続すると、サーバー広告やその管理者によって設定されたルールセットを持つMOTDウェルカムスクリーンが表示されます。ウィンドウにはHTMLファイルが含まれており、MOTDファイルは、ユーザーを犯罪者がコントロールするサーバーへリダイレクトしてしまうIFRAMEを含んでいます。

このトロイの木馬の真の目的は、プレーヤーのコンピューターにプロキシサーバーを導入することです。このプロキシサーバーは同じコンピューター上のCounter-Strikeゲームサーバーを真似て、情報をVALVEのサーバーに送信します。トロイの木馬であるこの偽ゲームサーバーにアクセスすると、クライアントのソフトウェアは攻撃者のコントロールするゲームサーバーにリダイレクトされ、プレーヤーはそこからトロイの木馬Win32.HLLW.HLProxyを受け取ってしまいます。下のスクリーンショットはこのトロイの木馬の活動例で、1つのIPアドレスを持つ複数のゲームサーバーが感染したコンピューター上で動作しています。

screenshot

さらに、このトロイの木馬はゲームサーバー及びVALVEのサーバーにDDoSアタックを行うことも可能で、多くのサーバーが使用出来なくなる場合もあります。犯罪者の目的の1つは、ゲームサーバーへの迷惑なDDoSアタックに加え、感染者を増やし、ゲームサーバーのオーナーからお金をせしめることかもしれません。現在のところ、サーバーに接続したユーザーはトロイの木馬の他に「ギフト」を貰ってしまうようです。

Doctor Webのウイルスアナリストによってsvhost.exeファイルがTrojan.Click1.55929に隠されていることが判明しました。ひとたびトロイの木馬が感染したシステム内に侵入すると、C:\Program Files\Common Filesフォルダ内に自身のコピーをSVHOST.EXEという名前で作成し、それを起動して悪意のあるタスクを実行します。

現在ではこれらの脅威のシグネチャはDr.Webウイルスデータベースに加えられています。Counter-Strikeのプレーヤーは常に警戒を怠らず、ブラウザのプロンプトに同意してコンピューター上に実行ファイルをダウンロード、インストールしないことを推奨します。

Doctor Webは、この脅威の検出にご尽力頂いたMichael Maltsev氏に対して感謝の意を表します。

Tell us what you think

You will be awarded one Dr.Webling per comment. To ask Doctor Web’s site administration about a news item, enter @admin at the beginning of your comment. If your question is for the author of one of the comments, put @ before their names.


Other comments

ロシアに本社を置く、『Dr.Webアンチウイルスソフトウェア』のデベロッパーです。

1992年に製品の開発をスタートしました。

Dr.Webは世界200ヶ国以上のユーザーに利用されています。

2007 年、アンチウウイルスサービス(SaaS)の提供が開始しました。

24時間体制サポート

© Doctor Web
2003 — 2019

Doctor Webは、ロシアに本社を置く、『Dr.Webアンチウイルスソフトウェア』のデベロッパーです。その製品の開発は1992年に始まりました。

株式会社Doctor Web Pacific 〒105-0003 東京都港区西新橋1-14-10 西新橋スタービル 2F