Microsoft Threat Intelligenceは2026年11月3日（米国時間）、クラック版の商用ソフトや無料ゲームを探すユーザーを狙った偽ダウンロード攻撃キャンペーンの分析を発表した。トロイの木馬化したInno Setup形式のインストーラーが、1回のインストールで複数のソフトを配布する手口だという。配布されるソフトは、攻撃側の仕組みの中で「オファー」と呼ばれている。
Microsoftは、感染した端末が3つの経路で「収益化された資産」に変えられていたことを確認した。第三者の通信を端末経由で中継させる、分散コンピューティング基盤に参加させる、ユーティリティ型のソフトを追加で入れる、の3つである。いずれも利用者が十分に理解し同意しないまま行われることが多く、セキュリティとプライバシーのリスクになると指摘している。
クラック版ソフトや非公式ツールを装って侵入
攻撃の入り口は、クラック版ソフトやゲームのインストーラー、アクティベーター、プラグインなどを装った偽の配布ファイルだ。Microsoftが確認したおとりには、データベース管理ツール「Navicat Premium」のクラック版や、音楽制作用プラグイン「FabFilter Total Bundle」の一式が含まれる。ほかにもPCゲームやRobloxのエクスプロイトツール、自動クリックツール、ドライバー関連ツールなどが使われていた。
ユーザーがこれらを実行すると、一時フォルダ（%TEMP%\is-.tmp\）にInno Setup形式の一時ランナーが展開される。そこから「eld.exe」などの番号付きファイルが段階的に起動する仕組みだ。Microsoftは、元のおとりファイル名よりも、この一時パスや番号付きのファイル名のほうが長く使える痕跡になると説明している。
攻撃全体は4段階で進む。偽ダウンロードによる侵入、一時ランナーの展開、オファーごとの通信とペイロード配布、最終的な収益化ソフトのインストールという流れである。
オファーごとに外部と通信し、成否を記録
一時ランナーは、展開後に外部のサーバーと通信する。URLのパスはランダムだが、「d=inno」と「r=offer_execution」を含む決まった形式の問い合わせを送るのが特徴だという。オファーの配布に失敗した場合は「r=offer_execution_fail」が送られ、ウイルス対策ソフトに止められた旨のエラー文が含まれることもあった。
通信にはオファーID、アフィリエイトID、配布ネットワークIDなどの値が含まれ、どのソフトを配るかの選択や結果の報告に使われていた。同じインストールの中でも、オファーごとに成功と失敗が分かれる。そのため、最初のオファーが止められても、後続の配布が続く場合があるとMicrosoftは注意を促している。
通信先のドメインは頻繁に切り替えられていた。Microsoftは、個々のドメインは短命な指標にすぎないとしている。長く使える検知の手がかりは、通信形式と一時フォルダでの実行、番号付きファイル名の組み合わせだという。
3つの「収益化」の経路
最終段階では、「/qn」「/S」「/quiet」「/norestart」といった無人インストール用のオプションで、ソフトが利用者に気づかれにくい形で入れられる。1つ目の経路は「WorldProxyPool」で、端末を第三者の通信の中継に使うプロキシ型の収益化である。このソフトはSYSTEM権限で動く3つのスケジュールタスクを作成していた。
3つのタスクの役割はそれぞれ異なる。起動時にエージェントを動かすタスク、非表示のPowerShellで5分ごとに監視スクリプトを動かすタスク、1時間ごとに更新を行うタスクである。端末の再起動後も動き続ける、持続的な仕組みになっていた。
2つ目は「CharityEngine」と「BOINC」による分散計算への参加で、端末の計算資源を収益化する経路だ。VirtualBoxのインストールも確認されている。3つ目は「AW Manager」「Windows Manager」と呼ばれるユーティリティ型ソフトの導入である。Microsoftは、これらの製品自体には正当な用途もありうるとしたうえで、同意なく無断で入れられる点を問題視している。
Microsoftが示した対策と調査のポイント
予防策として、Microsoftはまず信頼できない入手元のソフトを使わないよう求めている。クラック版ソフトやキー生成ツール、非公式のゲームインストーラー、アクティベーションツールは、マルウェアや不要なソフトの配布に使われやすいためだ。そのうえで、Microsoft Defender Antivirusのクラウド配信保護、改ざん防止機能、評判ベースの保護を有効にするよう推奨している。
あわせて、攻撃面の縮小（ASR）ルールの検討も挙げた。普及度や作成時期、信頼リストの条件を満たさない実行ファイルを止めるルールなどが対象である。調査面では、一時フォルダからの実行、「d=inno」を含む外部通信、SYSTEM権限で新たに作られたスケジュールタスクの確認を求めている。
さらに、利用者が意図せず入ったソフトがないか、端末のソフトウェア一覧を棚卸しすることも推奨した。WorldProxyPool、CharityEngine、BOINC、VirtualBoxなどが対象になる。Microsoft Defenderは関連するペイロードを検知・ブロックしているという。本文には検知名や攻撃の痕跡（IOC）の一覧、ハンティング用のクエリも掲載されている。
企業への示唆
今回の手口は、ランサムウェアのように業務を止めるものではない。そのぶん、端末が第三者の通信の中継や計算資源の提供に使われていても、気づきにくい点に注意が要る。社外の通信が自社の端末を経由すれば、自社が不正な通信の発信元に見えてしまうおそれもある。情シス部門は、まず業務端末にWorldProxyPoolやBOINCなど、導入を許可していないソフトが入っていないかを確認したい。
入り口が「個人がソフトを探して入れる行為」である点も見逃せない。私物端末の業務利用や、管理者権限を持たせたままの端末では、こうしたインストーラーを止めにくい。ソフトの入手元を社内の配布ポータルなどに限る、管理者権限を絞る、といった基本の運用を改めて点検する機会になる。
検知の面では、個々のドメインやファイル名を遮断リストに足すだけでは追いつかない。一時フォルダからの実行や、SYSTEM権限のタスク作成といった振る舞いを監視できているかを確認したい。EDRを導入済みの企業は、Microsoftが公開した痕跡やクエリを自社環境で照合しておくとよいだろう。
ITトレンドでEDR製品についてチェック！[EDR製品おすすめ16選を一覧表で比較！機能や選び方、メリットも解説]
Microsoftが報告した攻撃手口はこちらもチェック！[フィッシングで正規のリモート管理ツールを悪用する攻撃をMicrosoftが報告——MSP360とScreenConnectで二重の侵入経路を確保]
まとめ
Microsoftは、クラック版ソフトや非公式ツールを装う偽ダウンロード攻撃の分析を公表した。トロイの木馬化したインストーラーが複数のソフトを無断で入れ、端末をプロキシや分散計算、アドウェア型ツールで収益化していたという。一部のソフトはSYSTEM権限のスケジュールタスクで動き続ける仕組みだった。
被害の件数や地域、日本国内での確認状況は示されていない。ただ、ソフトの入手元の管理や端末の権限設定、振る舞いの監視といった対策は、企業規模を問わず有効だ。自社の端末に身に覚えのないソフトが入っていないか、この機会に棚卸しを進めたい。
