脅威動向 / THREATS / MALWARE
Microsoftが偽装ダウンロード攻撃を追跡 — 偽インストーラーが社内へ侵入、多段階で防御を無力化
Microsoft Defender Expertsは2026年9月1日、正規ベンダーを装う偽装ダウンロードサイトから動的に生成されたインストーラーを配布する大規模キャンペーンを公表した。RazerやMicrosoft Edge、Kasperskyなど少なくとも14ブランドを偽装し、同名アーカイブを毎回異なるハッシュで配信。実行後はタスクスケジューラによる持続化やDefender除外の追加、Windows Updateの無効化まで行う。
Microsoft Defender ExpertsとMicrosoft Security Researchは2026年9月1日、正規のソフトウェアベンダーを装う偽装ダウンロードサイトを通じて悪性インストーラーを配布する活発なキャンペーンを公表した。攻撃者はブランドの見た目を精巧に模倣したサイトで利用者を誘導し、実行後に持続化と防御回避を多段階で実施する。Microsoftは被害が中国語圏の利用者と多国籍企業の中国拠点を中心に、医療機器・医療、製造、ゲーム、テクノロジー、物流、政府、高等教育など複数業種に広がっていると説明している。
Microsoftはこの活動について、公開情報で知られるSilver Fox（別名 Yinhu、银狐）による偽装ソフトウェア配布と中程度の確度で一致すると評価している。一方で、国家主体への帰属は断定していない。Microsoft Defenderは攻撃チェーンの複数段階で検出と自動封じ込めを実施したとしている。
入口は偽装ダウンロードサイト — 同名zipを都度生成
攻撃の起点は、正規ベンダーを装う偽装ダウンロードサイトである。Microsoftが確認した例では、利用者がRazerの偽装ページ pc-razerzone[.]com[.]cn にアクセスし、配信ホスト gehie246[.]com/712down から app_setup.6653004.zip をダウンロードした。Microsoftのテレメトリでは、同じファイル名のアーカイブが約69秒以内に内容の異なる2つのコピーとして書き込まれており、サーバ側でリクエストごとにペイロードが生成されていることを示している。
Microsoftによると、偽装ドメインは .com.cn や .hl.cn を中心にブランド名を含む形で多数用意され、少なくとも以下のブランドが偽装対象に含まれていた。いずれも目立つ「今すぐダウンロード」ボタンから同じ配信基盤へ誘導する。
- Razer（Synapseドライバー）、Microsoft Edge、Kaspersky、Sejda PDF、NetEase Youdao辞書、DiskGenius、Baidu Netdisk、oCam、draw.io、SteelSeries、Sogou、Calibre、MindMaster（typosquat）など
アーカイブ名は app_setup.* や zinst.*、zintall.*、intsoft.* などが使われ、配信URLは一定のまま内容（ハッシュ）だけが毎回変わる。Microsoftは yimxg25tiy[.]com/73inst や cc8ttkv35b[.]com/7qinst など複数の配信ホストと、攻撃者が管理するとみられるAlibaba Cloud OSSバケットへの通信も確認している。
実行から持続化まで — ランダムなパスとタスクスケジューラ
アーカイブを開くと、 a_instapp83353001.exe のような生成された名前のラッパーインストーラーが含まれている。ラッパーを実行すると、 C:\Users\Public\ や C:\Program Files (x86)\ 配下のランダムなディレクトリに段階的なペイロードが展開される。ファイル名は毎回ランダムだが、内容のハッシュは安定しており、同一のSHA-256が多数の異なるパスで観測されている。
持続化はタスクスケジューラを悪用して実現される。タスク名は「Deadline Mission Target」や「Hierarchy Tools Smooth Inventory」など日常的な業務に見せかけた表示名が使われ、C:\ProgramData\ 配下に置かれたペイロードを起動する。タスクはTask Schedulerサービス（svchost.exe -k netsvcs -p -s Schedule）から起動され、複数のタスクがずらして実行されることで、感染端末では約60秒間隔で再実行が発生する特徴が観測された。
並行して、Windows Installer（msiexec.exe -Embedding）を経由してランダムなパスへペイロードを書き込む実行経路も確認されている。いずれの経路でも、ペイロードは正規ソフトウェアのバージョン情報を偽装しており、例えば Philips Speech Driver Client Configuration や Indigo Rose TrueUpdate Client のメタデータを名乗りながら、ランダムなディレクトリから実行されていた。
防御を弱める多層的な手口
後段のペイロードは、ホストの保護機能を段階的に弱める。Microsoftが確認した手口は以下のとおりである。
- Defender除外の追加:
Add-MpPreference -ExclusionPathによるパス除外や、SYSTEM権限で実行する一時的なスケジュールタスク経由のレジストリ書き込み（HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths）で、C:\ProgramDataやC:\などを除外する。 - シャドウコピーの削除:
vssadmin delete shadows /all /quietでボリュームシャドウコピーを削除し、復旧を妨げる。 - 権限とアクセス制御の硬化:
icaclsでペイロードのディレクトリにAdministratorsとSYSTEMのみがアクセスできるよう権限を絞り、利用者による削除を困難にする。 - Windows Updateの無効化:
wuauservやUsoSvcなどのサービス停止と無効化、更新用DLLのリネーム、SoftwareDistributionキャッシュの削除、Windows Update関連のスケジュールタスク無効化などを一括で実行する。 - プロセス注入:
CreateRemoteThreadによる正規アプリケーションへのコード注入が観測され、Microsoft Defenderは「悪意ある可能性のあるコードが注入された」として検出している。 - WDACポリシーの改ざん: コード整合性ストアに悪性のWindows Defender Application Controlポリシーを書き込む行為も確認され、Microsoft Defender Antivirusは
Behavior:Win32/MpTamperGpDisableAVFriendly.Aとして検出している。
通信先 — Alibaba Cloud OSSと非標準ポートのC2
持続化されたペイロードは、Alibaba Cloud OSS（upitem.oss-cn-hangzhou.aliyuncs.com:443）へのTLS通信で追加のペイロードを取得する動きが確認されている。一方で、後段のネットワークペイロードは 47.239.232[.]245:8050 や 103.156.25[.]35:7031 など非標準ポート上のIPや6文字の .net ドメイン（oijfwe[.]net など）へのC2通信を試みた。Microsoftの観測では、OSSへの通信は成功した一方、IP/ポート型のC2はホストファイアウォールでブロックされるなど断続的に失敗していた。
影響範囲とMicrosoftが推奨する対策
MicrosoftはConfirmedな被害が中国語の誘導文や .com.cn / .hl.cn 基盤と整合的に、中国語圏の利用者と中国拠点に集中していると説明している。影響は単一業種にとどまらず、医療、製造、ゲーム、テクノロジー、物流、政府、教育にまたがる複数組織で確認された。
Microsoftが推奨する保護策は、一次情報で明示された内容に限られる。Microsoftは、信頼できない配布元からのダウンロードを防ぐこと、そしてSmartScreen、ネットワーク保護、改ざん防止、Microsoft Defender XDRを有効にして検出・ブロック・対応に役立てることを呼びかけている。Microsoft Defenderは攻撃チェーンの複数段階で検出と自動的な攻撃遮断（attack disruption）による封じ込めを実施したとしており、組織ではこれらの保護機能が有効であることを確認することが重要だとしている。
出典
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。