セキュリティプログラムのインストール過程で感染する TrollAgent(Kimsuky グループ) Posted By ATCP , 2024년 02월 22일 ASEC(AhnLab SEcurity intelligence Center)では最近、韓国国内の建設関連協会のホームページ上でセキュリティプログラムのインストールを試みると、マルウェアがダウンロードされるという状況を確認した。当該ホームページで提供しているサービスを使用するためにはログインが必要であり、セキュリティのために様々なセキュリティプログラムをインストールすることでログインを行うことができる。 ログインのためにインストールを誘導されるプログラムの中に、マルウェアが含まれたインストールプログラムが存在し、もしユーザーがこれをダウンロードしてインストールする場合、セキュリティプログラムだけでなくマルウェアも同時にインストールされてしまう。 このようなプロセスを通じてインストールされるマルウェアは、外部から攻撃者のコマンドを受け取り、悪意を持った振る舞いを実行できるバックドアマルウェアと感染システムの情報を収集する情報窃取型マルウェアがある。これにより、ユーザーは公式ホームページからセキュリティプログラムをインストールするだけでも個人情報窃取等の脅威にさらされる恐れがある。 1. 拡散方式 当該協会のホームページにアクセスした後にログインを試みると、以下のように、ログインのためにセキュリティプログラムのインストールを要求される。インストールが必要なセキュリティプログラムのうち「NX_PRNMAN」から、マルウェアが含まれた不正なインストーラーがダウンロードされる。これは解析時点である2024年1月中旬が基準であり、2023年12月頃には「TrustPKI」セキュリティプログラム内にマルウェアを含んで拡散された。また、内部テスト上で改ざんされたインストーラーは特定の時間帯にのみ当該ホームページにアップロードされ、その時間にダウンロードしたユーザーのみが攻撃にさらされることになる。当社が確保した改ざん済みインストーラーの合計感染数は、3,000件以上であると集計された。 図1. 韓国国内の特定ホームページにおけるログインプロセス インストーラーは…
