Kaspersky Labは3月6日(現地時間)、「Stealers and backdoors are spreading under the guise of a DeepSeek client｜Securelist」において、マルウェアを配布する偽のDeepSeekサイトを複数発見したと報じた。

DeepSeekは今年1月にリリースされた人気のAIチャットボット「DeepSeek-R1」を開発した企業だ。この人気の高まりはサイバー犯罪者も引き付けたとみられ、マルウェアを配布する攻撃に悪用されたという。

  • Stealers and backdoors are spreading under the guise of a DeepSeek client｜Securelist

    Stealers and backdoors are spreading under the guise of a DeepSeek client｜Securelist

3種類の攻撃

Kaspersky Labは偽のDeepSeekサイトを悪用する、3種類のサイバー攻撃を確認済み。その概要は次のとおり。

情報窃取マルウェアの配布

この攻撃ではDeepSeekアプリを装いマルウェアを配布する。配布元となった偽サイトは次のとおり。

  • r1-deepseek[.]net
  • v3-deepseek[.]com
  • 偽DeepSeekサイトの例 - 引用：Kaspersky Lab

    偽DeepSeekサイトの例　引用：Kaspersky Lab

Webサイトの「Get DeepSeek APP」ボタンをクリックすると、小さなアーカイブファイル「deep-seek-installation.zip」をダウンロードする。このファイルにはLNKファイルが含まれており、実行するとPowerShellスクリプトが実行される。

スクリプトはさらにZIPアーカイブをダウンロードして、バッチファイル、svchost.exe(中身はpython.exe)、python.pyファイルを展開する。次にバッチファイルが実行され、最終的にpython.pyが実行される。

python.pyがマルウェア本体で、実行されるとWebブラウザのCookie、セッション情報、メールやゲームの認証情報、特定のファイル、暗号資産ウォレットの情報などが窃取される。

なお、「v3-deepseek[.]com」についてはすでにコンテンツが切り替わっており、xAIが開発したAIチャットボット「Grok」の配布サイトを装い、同様のマルウェアを配布するとみられる。

地域限定の攻撃

この攻撃ではIPアドレスに基づく位置情報を使用し、ロシアなど特定地域のユーザーに限定して攻撃が実施された。偽サイトのドメインは次のとおり。

  • deepseek-pc-ai[.]com
  • deepseek-ai-soft[.]com
  • 位置情報でコンテンツが切り替わる偽DeepSeekサイトの例 - 引用：Kaspersky Lab

    位置情報でコンテンツが切り替わる偽DeepSeekサイトの例　引用：Kaspersky Lab

これらWebサイトはアプリのダウンロードまたはチャットボットの起動を求めるが、どちらを選択しても悪意のあるインストーラーをダウンロードする。インストーラーを起動するとPowerShellが実行され、最終的にSSH(Secure SHell)を使用したバックドアが展開される。

技術者を狙う

技術力のあるユーザーを標的に、マルウェアを直接配布する偽サイトも発見された。偽サイトのドメインは次のとおり。

  • app.delpaseek[.]com
  • app.deapseek[.]com
  • dpsk.dghjwd[.]cn

これらWebサイトからはDeepSeekモデルのローカル実行が可能とうたう偽アプリが配布される。フレームワークとしてオープンソースの「Ollama」を使用しているとし、疑いを回避する戦術も使用される。

  • 偽のLLMを配布するWebサイトの例 - 引用：Kaspersky Lab

    偽のLLMを配布するWebサイトの例　引用：Kaspersky Lab

ダウンロードした偽アプリを実行すると、「KCP」プロトコルのトンネルが作成される。また、同時に悪意のあるアーカイブファイルをダウンロードして、バックドア「Farfli」の亜種を実行することも確認されている。

対策

これら攻撃は特定の人物を標的としたものではなく、アクセスしたすべてのユーザーを対象としている。Webサイトのドメイン名はタイポスクワッティングを意識したものが使用され、また、ソーシャルネットワーキングサービス(SNS: Social networking service)を利用した宣伝も確認されている。

Kaspersky Labは同様の攻撃を回避するため、ファイルをダウンロードする際にアクセスしているWebサイトのドメインが正しいか確認することを推奨している。

サイバー犯罪者はオンラインの人気を悪用し、ユーザーの隙を突いて攻撃を仕掛けてくる。Webサービスを利用する際には警戒を怠らないことが大切だ。