チェック・ポイント・リサーチ、人気のゲームエンジン「Godot」の悪用で、17,000台以上のデバイスへのマルウェア感染を確認

チェック・ポイント・ソフトウェア・テクノロジーズ株式会社
Godotで開発されたゲームをプレイしている120万人以上のユーザーが、攻撃の対象となる可能性

AIを活用したクラウド型サイバーセキュリティプラットフォームのプロバイダーであるチェック・ポイント・ソフトウェア・テクノロジーズ（Check Point(R) Software Technologies Ltd.、 NASDAQ：CHKP、以下チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（Check Point Research、以下CPR）は、ゲームエンジン「Godot（ゴドー）」を悪用した新たなサイバー攻撃を確認しました。

主なハイライト：
- CPRは、オープンソースのゲームエンジンとして人気が高い「Godot」を使用した新たな攻撃の手口を発見しました。この手法では、悪意のあるコマンドを実行したり、マルウェアを配布したりすることが可能で、多くの場合、検出を免れます。

- この革新的な手法により、サイバー犯罪者はWindows、macOS、Linux、Android、iOSなど、様々なプラットフォーム上のデバイスを侵害することが可能になります。

- マルウェアをサービスとして提供するGitHubのネットワーク、Stargazers Ghost Networkがこの悪意のあるコードを配布しており、わずか3カ月で17,000台以上のデバイスに感染させています。

- Godotで開発されたゲームをプレイしている120万人以上のユーザーが、攻撃の対象となる可能性があります。攻撃者は正規のGodotの実行ファイルを悪用し、Modやその他のダウンロードコンテンツを通じて有害なプログラムを読み込ませることで、デバイスを感染させます。


進化し続けるサイバー脅威の中で、サイバー犯罪者たちは、より多くのデバイスに感染を広げて、サイバーセキュリティシステムの検知を回避するため、常に新たな手口を編み出しています。CPRの最近の調査により、ゲームエンジンのスクリプト機能を標的とした新たな攻撃手法が発見されました。オープンソースの人気ゲームエンジンであるGodot Engineが悪用され、GodLoaderと呼ばれる悪意のあるスクリプトを実行してマルウェアを配布した結果、17,000台以上のデバイスが感染しました。この新手の攻撃手法により、攻撃者は認証情報を窃取しランサムウェアを配布することが可能となり、Godotで開発されたゲームを利用する120万人のユーザーに重大なリスクをもたらしています。

攻撃者がGodot Engineをどのように悪用しているのか、マルウェアがどのように配布されているのか、そしてGodotで開発されたゲームのプレイヤーにさらなる感染が広がる可能性についてご説明します。

ゲームエンジン「Godot」について知る
Godot Engineは、その柔軟性と包括的なツールセットで高く評価されているオープンソースのゲーム開発プラットフォームです。2Dと3D、両方のゲーム開発が可能で、完成したゲームはWindows、macOS、Linux、Android、iOS、HTLM5など、様々なプラットフォーム上で動作するように設計されています。ユーザーフレンドリーなインターフェースと、Pythonに似たGDScriptと呼ばれるスクリプト言語を採用しており、経験を問わず、あらゆる開発者が活用できる環境を提供しています。また、2,700人以上のコントリビューターと8万人以上のソーシャルメディアのフォロワーを持つ活発なコミュニティの存在は、Godotが広く支持され、手厚いサポート体制が整っていることを示しています。しかし、このGodotの普及に伴い、サイバー犯罪者による攻撃が増加しています。

GodLoaderを用いた攻撃手法
攻撃者たちは、Godotのスクリプト機能を悪用して、GodLoaderと呼ばれるマルウェアを作り出しました。このマルウェアの特徴は、従来のセキュリティ対策をすり抜けることが可能な点です。Godotの特性を利用することで、Windows、Linux、macOSなど、様々なOS上で動作する悪意のあるプログラムを簡単に展開でき、Android端末も攻撃対象として狙われています。さらに、GDScriptの単純な仕様と、Godotが様々なOSに統合できる特性を組み合わせることで、攻撃者は従来の検知手法を簡単に回避することが可能になっています。2024年6月29日以降、この悪意のあるGodLoaderを利用した新たな手法により、多くのウイルス対策ソフトによる検出を回避して、4カ月足らずの間に17,000台以上のデバイスが感染したことが報告されています。

攻撃のメカニズム
Godot Engineの脆弱性は、スクリプトやシーンなどのゲームアセットを配布用にまとめた.pckファイルの仕組みに関連しています。これらのファイルが読み込まれる際、悪意のあるGDScriptがゲームエンジンに組み込まれたコールバック関数を通じて実行される可能性があります。攻撃者はこの仕組みを悪用して、ユーザーに気付かれることなく、デバイスに新たな不正プログラムを密かにダウンロードしたり、遠隔から危険なプログラムを実行したりすることができます。GDScriptは高度なプログラミング機能を備えた言語です。そのため攻撃者は、サンドボックスや仮想マシンの検知を回避したり、遠隔からプログラムを実行したりするなど、様々な手法でマルウェアの存在を隠し続けることができます。現在は主にWindowsが攻撃の対象となっていますが、God Engineは複数のOSに対応しているため、他のシステムも同様の危険にさらされる可能性があります。

GodLoaderの拡散
GodLoaderはStargazers Ghost Networkを活用しています。これは、一見正当なGitHubリポジトリを通じてマルウェアを配布する手法を採用している、洗練されたDaaS（ディストリビューション・アズ・ア・サービス）です。2024年9月から10月にかけて、GodLoaderは200のリポジトリを通じて配布され、225を超えるStargazers Ghostの偽装アカウントがこれらの不正なリポジトリに「星」を付けることで、意図的にリポジトリの評価を上げていました。このように信頼できるリポジトリを装うことで、開発者やゲーマーを騙して被害に遭わせる手口を使用しています。

このリポジトリは、主にゲーム開発者とゲーマーをターゲットとして、4回に分けて段階的に配布され、公開されました。

開発者とゲーマーへの影響
この新たな脅威がもたらす影響は深刻です。開発者は、Godot Engineのようなオープンソースのプラットフォームを使用してゲーム開発を行うことが多いため、気づかないうちに有害なコードをプロジェクトに組み込んでしまう高い可能性に直面しています。そしてゲーマーにとっても、改ざんされたツールで作成された可能性のあるゲームをダウンロードしてインストールするリスクが高まっています。

さらに、この攻撃の背後にいる脅威アクターは、Stargazers Ghost Networkを使用してGodLoaderを配信しており、その活動は高度な手法で大きな成果を上げています。このネットワークは、オープンソースや正規のソフトウェアリポジトリに対する信頼を悪用し、マルウェアを目立たないように配布します。実際に使われている手口は、正規の信頼できるアプリケーションやツールになりすまし、ユーザーを巧みに誘導するというものです。ユーザーは安全なソフトウェアだと信じてダウンロードしてしまい、結果として被害に遭ってしまいます。この手法により、マルウェアは短期間で広範囲に広がり、数千人ものユーザーが被害を受けることになります。

標的を絞ったマルウェア配布戦略と、検知を逃れるための巧妙な手法を用いることで、感染率は大幅に上昇しています。このマルウェアは複数のプラットフォームに対応しており、様々なOSを狙うことができる適応性の高さから、サイバー犯罪者にとって強力な武器となっています。その結果、攻撃者は異なる種類のデバイス上に効率的にマルウェアを展開でき、その攻撃の範囲と効果を拡大することに成功しています。

サイバーセキュリティの強化：GodLoaderの脅威とその対策
新たな攻撃の手口であるGodLoaderは、サイバー攻撃がより巧妙で高度なものへと進化していることを示しています。こうした脅威のリスクを減らすためには、OSやアプリケーションを定期的にアップデートし、セキュリティ更新プログラムを必ず適用することが不可欠です。特に見知らぬ送信元からの予期せぬメールやリンクには十分注意を払う必要があります。また、組織全体でサイバーセキュリティへの意識を高め、常に警戒心を持って行動することが重要です。セキュリティに関する疑問や懸念がある場合は、専門家に相談することで、問題に適切に対応するための貴重な知見やサポートを得ることができます。

チェック・ポイントのThreat EmulationとHarmony Endpointは、ここで説明したような攻撃やマルウェアを含む、多様な攻撃手法、ファイルの種類、オペレーティングシステムに対する保護を提供します。Threat Emulationは、エンドユーザーのネットワークへの侵入を防ぐため、ファイルを事前に評価して不正な活動を検出し、未知の脅威やゼロデイ脆弱性を効果的に発見します。さらに、リアルタイムでファイル分析を行うHarmony Endpointと組み合わせることで、Threat Emulationは各ファイルを評価し、元のファイルが詳細な検査を行う間にユーザーが安全なバージョンに素早くアクセスできるようにします。このプロアクティブな対策により、安全なコンテンツへの迅速なアクセスを提供してセキュリティを強化するだけでなく、潜在的な脅威を体系的に特定して対処し、ネットワークの完全性を維持します。

CPRが公開しているレポートで、このマルウェアの詳細な仕組みや感染経路、検知回避の手法についてさらに詳しく解説しています。

チェック・ポイントのプロテクション
- Technique.win.GDscript.*

本プレスリリースは、米国時間2024年11月27日に発表されたブログ（英語）をもとに作成しています。

Check Point Researchについて
Check Point Researchは、チェック・ポイントのお客様、脅威情報コミュニティを対象に最新のサイバー脅威インテリジェンスの情報を提供しています。チェック・ポイントの脅威インテリジェンスであるThreatCloud AIに保存されている世界中のサイバー攻撃に関するデータの収集・分析を行い、ハッカーを抑止しながら、自社製品に搭載される保護機能の有効性について開発に携わっています。100人以上のアナリストや研究者がチームに所属し、セキュリティ ベンダー、捜査当局、各CERT組織と協力しながら、サイバーセキュリティ対策に取り組んでいます。
ブログ: https://research.checkpoint.com/
X: https://twitter.com/_cpresearch_

チェック・ポイントについて
チェック・ポイント・ソフトウェア・テクノロジーズ（https://www.checkpoint.com/）は、AIを活用したクラウド型サイバーセキュリティプラットフォームのリーディングプロバイダーとして、世界各国の10万を超える組織に保護を提供しています。Check Point Software Technologiesは、積極的な防御予測とよりスマートで迅速な対応を可能にするInfinity Platformを通じ、サイバーセキュリティの効率性と正確性の向上のためにあらゆる場所でAIの力を活用しています。Infinity Platformの包括的なプラットフォームは、従業員を保護するCheck Point Harmony、クラウドを保護するCheck Point CloudGuard、ネットワークを保護するCheck Point Quantum、そして協働的なセキュリティオペレーションとサービスを可能にするCheck Point Infinity Core Servicesによって構成されます。Check Point Software Technologiesの全額出資日本法人、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社（https://www.checkpoint.com/jp/）は、1997年10月1日設立、東京都港区に拠点を置いています。

ソーシャルメディア アカウント
・Check Point Blog: https://blog.checkpoint.com
・Check Point Research Blog: https://research.checkpoint.com/
・YouTube: https://youtube.com/user/CPGlobal
・LinkedIn: https://www.linkedin.com/company/check-point-software-technologies/
・X: https://twitter.com/checkpointjapan
・Facebook: https://www.facebook.com/checkpointjapan

将来予想に関する記述についての法的な注意事項
本プレスリリースには、将来予想に関する記述が含まれています。将来予想に関する記述は、一般に将来の出来事や当社の将来的な財務または業績に関連するものです。本プレスリリース内の将来予想に関する記述には、チェック・ポイントの将来の成長、業界におけるリーダーシップの拡大、株主価値の上昇、および業界をリードするサイバーセキュリティプラットフォームを世界の顧客に提供することについての当社の見通しが含まれますが、これらに限定されるものではありません。これらの事項に関する当社の予想および信念は実現しない可能性があり、将来における実際の結果や事象は、リスクや不確実性がもたらす影響によって予想と大きく異なる可能性があります。ここでのリスクには、プラットフォームの機能とソリューションの開発を継続する当社の能力、当社の既存ソリューションおよび新規ソリューションにたいする顧客の受け入れと購入、ITセキュリティ市場が発展を続けること、他製品やサービスとの競争、一般的な市場、政治、経済、経営状況、テロまたは戦争行為による影響などが含まれています。本プレスリリースに含まれる将来予想に関する記述に伴うリスクや不確実性は、2024年4月2日にアメリカ合衆国証券取引委員会に提出した年次報告書（フォーム20-F）を含む証券取引委員会への提出書類に、より詳細に記されています。本プレスリリースに含まれる将来予想に関する記述は、本プレスリリースの日付時点においてチェック・ポイントが入手可能な情報に基づくものであり、チェック・ポイントは法的に特段の義務がある場合を除き、本プレスリリース記載の将来予想に関する記述について更新する義務を負わないものとします。

本件に関する報道関係者からのお問い合わせ
チェック・ポイント広報事務局 （合同会社NEXT PR内）
Tel: [phone]　Fax: [phone]
E-mail: [e-mail]