2019年4月12日

株式会社Doctor Web Pacific

Doctor Webのリサーチャーはこの度、良く知られた動画編集ソフトウェアであるVSDCの公式サイトが侵害されていることを発見しました。ハッカーはサイト上のダウンロードリンクをハイジャックし、動画編集ソフトウェアと一緒に危険なトロイの木馬である Win32.Bolik.2 と Trojan.PWS.Stealer （KPOT Stealer）が訪問者のデバイス上にダウンロードされるようにしています。

VSDCは動画や音声を編集するための人気の無料ソフトウェアです。 SimilarWeb の統計によると、毎月130万人近いユーザーがVSDCのサイトを訪問しています。しかしながら、サイトの開発者によるセキュリティ対策はこのような大きなトラフィック量に対するものとては不十分であり、多くのユーザーが危険にさらされています。

昨年、未知のハッカーがVSDCサイトの管理機能にアクセスし、ダウンロードリンクを置き換えました。その結果、ユーザーは編集ソフトウェアの代わりに JavaScript ファイルを受け取り、続けてその JavaScript により AZORult Stealer、 X-Key Keylogger、 DarkVNC バックドアがダウンロードされていました。VSDCチームは脆弱性を解決したと公表しましたが、最近になって、VSDCサイト経由で感染する新たなケースが報告されています。

Doctor Webのリサーチャーによると、VSDC開発者のコンピューターは最初の侵入が発生してから何度か侵害されており、そのハッキングの結果、2019年2月21日から3月23日の間にサイトが再度侵害されているものとみられます。今回、ハッカーたちはマルウェアを拡散させるために前回とは異なる手法を用いています。悪意のある JavaScript コードをVSDCサイト内に埋め込むというものです。このコードの役割は訪問者の位置情報を取得して、英国、米国、カナダ、オーストラリアのユーザーのダウンロードリンクを置き換えることです。VSDCサイトの元のリンクは別の感染したサイトへのリンクに置き換えられます：

• https://thedoctorwithin[.]com/video_editor_x64.exe
• https://thedoctorwithin[.]com/video_editor_x32.exe
• https://thedoctorwithin[.]com/video_converter.exe

感染したサイトからソフトウェアをダウンロードしたユーザーは危険なバンキング型トロイの木馬 Win32.Bolik.2 も一緒に受け取ります。その前身である Win32.Bolik.1 と同様、このトロイの木馬はマルチコンポーネントなポリモーフィック型ファイルウイルスとしての特徴を備えています。このトロイの木馬のファミリーは、Webインジェクション、トラフィックの横取り、キーロギングを実行し、さまざまな銀行クライアントシステムから情報を盗むよう設計されています。現時点で、Doctor Webでは videosoftdev.com サイト経由でこのトロイの木馬に感染した少なくとも565件のケースについて情報を入手しています。これまでのところ、このトロイの木馬のすべてのコンポーネントを検出することができるのはDr.Web製品のみとなっています。

2019年3月22日には、ハッカーはトロイの木馬 Win32.Bolik.2 を別のマルウェアである KPOT Stealer （Trojan.PWS.Stealerの亜種）に変更しています。このトロイの木馬はブラウザやMicrosoftアカウント、複数のメッセンジャー、その他いくつかのプログラムから情報を盗みます。わずか1日で83人のユーザーがこのトロイの木馬をダウンロードしています。

この脅威についてVSDCの開発者に対して報告が行われ、現在、ダウンロードリンクは元のリンクに戻されています。用心のため、VSDCユーザーの方はDr.Webアンチウイルスを使用してデバイスをスキャンすることをお勧めします。

Indicators of compromise (英語)

#banker #banking_trojan #virus