ESET/サイバーセキュリティ情報局

偽AIボットの疑いとその痕跡を辿る

• 
• シェア
• ツイートする
  一覧
• 

　AI開発の競争が激化する中、最先端の技術や進歩に後れを取らないように、多くの人がAIについて理解を深めようとしている。一方で、こうしたトレンドを悪用したサイバー犯罪は全盛期を迎えている。

　筆者がFacebookのフィードを眺めていると、「Google Bard AI」の広告を見かけた。Googleが正規に提供しているAIツール「Bard」の最新バージョンをダウンロードして、試してみるよう薦めるものだった。

　最初に怪しいと感じたのは、短縮URLにGoogleのドメインが含まれておらず、rebrand.lyがリンクされていた点だ。これはアイルランドのダブリンに本拠を持つ企業のサービスであり、Googleの関連企業には見えなかった。Googleのような大手テック企業が他社のサービスを利用するのは不思議に思え、私の疑念は深まった。信じがたいことに、広告の文言は英語が母国語でない筆者が見ても、あの非常に紛らわしい内容を誰も校正していない事は明らかだった。

Facebookに表示された偽の広告

ボットの疑い

　詐欺の可能性を追求するために、広告の下部にあるコメント欄を確認した。驚いたことに、誰もがその「アプリ」を気に入っているようだった。単に「アプリ」と呼ぶには正しくないように思えたが、中には「AI」を絶賛する者もおり、Googleに関してはほとんど誰も言及していなかった。コメントで「5つ星の評価」を与える人さえいた。さらに不思議なことに、コメントした全員が同時にアプリをダウンロードしていたのだ。筆者が確認した「6時間前」にあたる、まったく同じタイミングでコメントを書き込んでいたため、疑念は増すばかりだった。

同時に書き込まれた全コメント

痕跡をたどる

　より詳しく調査するため、セキュリティ的に保護された環境でリンクを試すことにした。まずVirusTotalと呼ばれるファイルやウェブサイトのマルウェア検査を行うサービスでrebrandlyのリンクを検証したところ、悪意のあるWebサイトだと判断したのは、90社中3社であった。指針にはなるが、誤判定の可能性もあるため、確証は持てない。

　そこで、匿名化Webブラウザーを使ってリンクを開いてみた。実際にGoogleのWebサイトへ遷移したので、匿名化Webブラウザーを使用したのは良い判断だったと言える。

「hxxps://sites.google.com/view/12345328?fbclid=IwAR2V87sG77nklWVC1tLS-R-fjrL_nNNDhjtDorxKHkN56g8oNVV09Edjgwo」

　筆者が普段使用しているWebブラウザーからこのWebサイトにアクセスしていた場合、Chromeに筆者のGoogleアカウントが紐づいているので、個人情報がサイバー犯罪者によって過剰に詐取されていただろう。

　このWebサイトはGoogleのクラウド環境で公開されているものの、もちろんそのコンテンツ自体はGoogleとは何の関連もない。さらに、ここで疑わしい兆候がいくつも見受けられた。第一に、Webブラウザーのタブに表示されたページタイトルには、「Trang chủ（ベトナム語で「ホームページ」）」とあった。加えて、Webサイトに記載された文言が、ネイティブ、あるいは流暢な英語レベルの人によって書かれたものではないのは明らかだった。もちろんこれは十分な証拠と言えないが、この詐欺に関与している攻撃者は、ベトナムを拠点にしていることを示唆している。

　次に「ダウンロード」ボタンを押下すると、個人用Googleドライブに遷移した。

「hxxps://drive.google.com/u/0/uc?id=1sn-Lzt-2vJ_i-6I9lkbGgr_-IN2TVcA-&export=download」

　これは攻撃者が悪意のあるファイルを配布する安価な方法である。さらに、Googleが公式に実施している広告キャンペーンだと誤解させる目的もあるだろう。

ダウンロードページ

人工知能とは程遠い手口

　ダウンロードされたのは、RAR形式の圧縮ファイル「GoogleAIUpdata.rar」だった。パスワードで「保護」されているため、VirusTotalにアップロードして、ファイルをスキャンしても意味がない。なぜGoogleから直接ダウンロードさせないのかと疑問を抱く人もいるかもしれない。実際のところ、パスワードによる「保護」は、攻撃者にとってセキュリティソフトを容易に通過させる手段に過ぎない。ダウンロードページに記載された「789」のパスワードを使い、解凍せずに圧縮ファイルを開くと、MSI（Microsoftソフトウェア・インストーラー）形式のインストーラー「Google Bard AI setup.msi」が含まれていた。幸いなことに、7-zipのような解凍ツールにはSHA-256などのハッシュ値を生成する機能があるため、有害な疑いのあるファイルを解凍することなく、VirusTotalでの検索が可能になる。

　次にファイル検索を実行したところ、悪意のある広告キャンペーンだと示す決定的な証拠が得られた。59社中26社が悪意のあるファイルだと判定し、ESET社は検出名「JS/ExtenBro.Agent.EK」の詳細な情報を報告している。「JS/ExtenBro.Agent.EK」は、Webブラウザーの設定を変更してしまうJavaScriptのエージェントだ。マルウェアに感染させた後、セキュリティベンダーのWebサイトへアクセスし、マルウェアの除去を妨害するものだ。主にアドウェアとして動作し、被害者がアクセスするあらゆるWebサイトに煩わしく不要な広告を表示させる。攻撃者は、被害者のコンピューターに表示された広告から継続的に収益を得られる仕組みだ。

おわりに

　執筆時点では、異なるバリエーションで偽の広告キャンペーンが掲載されている。その実態を調査する取り組みを進めているのは、筆者だけではないはずだ。そのほかにも、偽の「メタAI」や「Google AI」に関する広告の事例が見つかったので、残念ながら大規模な広告キャンペーンに発展しているのだろう。AIの流行に乗じて「手っ取り早く稼ぐ」よう、今も攻撃者は必死になっているのだ。極めて煩わしいアドウェアの拡散により、攻撃者は収益を上げようとしている。これは決して洗練された手法ではないが、悲しいことに、最新の技術に触れたいと考える人が、このような詐欺の被害に遭ってしまう。さらに残念なことに、FacebookやGoogleといった大手テック企業が、完璧に安全な環境を用意してくれるとは限らないのだ。

　本記事が疑わしい兆候を検出するのに役立つことを願う。高価なツールを使用しなくても、自宅から詐欺やマルウェア攻撃の可能性を調査する助けとなってほしい。

[引用・出典元]
A Bard’s Tale – how fake AI bots try to install malware
by Thomas Uhlemann 21 Aug 2023
https://www.welivesecurity.com/en/scams/a-bards-tale-how-fake-ai-bots-try-to-install-malware/

この記事の編集者は以下の記事もオススメしています

• デジタル

  2023年12月のマルウェア検出数状況 メール添付ファイルは注意

• sponsored

  拡大する“メール経由のセキュリティ脅威”、効率良く手軽に対応するには？

• デジタル

  ロボット掃除機 便利だけどデータも集めているリスク

• デジタル

  オンラインゲーム内で横行する詐欺から身を守る方法

• デジタル

  「サイト越えトラッキングを防ぐ」とはどういうことか