Windows Latestは7月27日(現地時間)、「Be careful downloading Windows 11 apps from Google, 70+ fake sites are pushing malware right now」において、Google検索に表示される人気Windowsアプリの偽Webサイト72件が確認されたと報じた。

これらWebサイトの一部からはマルウェアが発見されており、誤ってダウンロードしないように注意を呼びかけている。

  • 人気Windowsアプリを装う偽サイトの例（出典：Check Point Research）

    人気Windowsアプリを装う偽サイトの例（出典：Check Point Research）

確認された72件の偽サイト

発見された偽Webサイトの一覧は次のとおり。すべて同一の所有者によって登録されており、特定の脅威アクターによる攻撃とみられている。

  • 10mintimer.com
  • arduinodroid.com
  • beardlib.com
  • bepisdb.com
  • chatmate.info
  • christitustool.com
  • crystaldiskinfo.app
  • crystaldiskmark.net
  • cursorslibrary.com
  • cxxdroid.com
  • daijisho.app
  • darktable.app
  • droidkit.pro
  • dshidmini.app
  • easybcd.app
  • fakeflashtest.com
  • findoutdate.com
  • freefilesync.net
  • freeminutetimer.com
  • freewheelofnames.com
  • furfsky.com
  • gliden64.com
  • guiformat.app
  • hakchi2.com
  • hashcat.app
  • hddsentinel.com
  • hifiasm.com
  • iso2god.com
  • je2be.com
  • kalkulyator.com
  • lax1dude.com
  • liveclockwithseconds.com
  • lspconfig.com
  • mimalloc.com
  • moliyachi.com
  • mongosh.com
  • mousecape.app
  • mousecape.net
  • mouse-clicker.com
  • mouse-cursors.com
  • mouse-mover.com
  • move-mouse.com
  • movemouse.net
  • mumuplayer.app
  • nircmd.net
  • noisium.com
  • notatnikonline.com
  • ocrmypdf.com
  • powertoys.app
  • power-toys.com
  • productkeyscanner.com
  • pwndbg.com
  • pyjwt.com
  • quickassistapp.com
  • retraitedz.com
  • rezygisk.com
  • sageattention.com
  • searchmyfiles.com
  • shellmenuview.com
  • showmore.app
  • simplestickynotes.app
  • skse64.com
  • spacesniffer.app
  • themouseclicker.com
  • urlaubscountdown.com
  • usblogview.com
  • wiblr.com
  • winexp.app
  • wintoys.app
  • winutil.app
  • wushowhide.com
  • zhpcleaner.com

大規模なマルウェア配布との関連も

これら偽アプリはWindows管理ツール「Wintoys」の開発者によって発見された。開発者はレビューの検証を目的に、日頃からGoogle検索でアプリ関連の情報を探していたという。

ある日のこと、いつもと同じように検索すると、検索結果に自身が所有していないドメイン「wintoys.app」の存在を発見。WebサイトはWordPressで構築され、内容は不正確だがダウンロードリンクは本物のMicrosoft Storeサイトにリンクしていたとされる。

この調査ではマルウェアは確認されておらず、Webサイトは無断で作成した低品質なファンサイトの様相を呈している。しかしながら、Check Point Software Technologiesの調査レポートと照らし合わせると、本件は高度な配信システムで構成された大規模なマルウェア配布キャンペーンの1つの可能性がある(参考：「Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem - Check Point Research」)。

このキャンペーンは標的を厳密に選定する仕組みを持ち、ボットやセキュリティ研究者を正当な広告収入へ誘導し、その他の一般ユーザーをマルウェアの配信インフラに誘導する。本件が同一のキャンペーンまたは脅威アクターによるものかは特定されていないが、調査した開発者は同じ戦略の可能性が示唆されるとしている。

ダウンロード前にURLの確認を

フィッシングサイトへの対策としては、リンクのクリックまたはダウンロード前のドメインの確認が推奨されている。これは「https:」から始まるURLのドメイン詐称が困難とされているためで、ドメインを確認するだけで攻撃を回避できる。

正規のドメインがわからない場合は、信頼性の高い配布サイトの利用が安全。Windowsアプリであれば、Microsoft Storeからアプリを検索してダウンロードすることが推奨される。