Smart Protection Network™のデータを監視する中で、以下のWebサイト上の不審なファイルが確認されました。
http://{BLOCKED}bookhacking.com/FacebookHackerPro_Install.exeドメイン名から判断すると、このサイトはソーシャルネットワーキングサイト「Facebook」向けのハッキングツールをホストしているものと考えられます。
調査したところ、このファイルはFacebookのパスワードを取得できるとうたわれています。セットアップファイルを解析した結果、使用許諾契約書（EULA）を表示し、プログラムの保存先フォルダをユーザに選択させるなど、一見すると通常のインストーラと変わらない動作をします。しかし、このセットアップファイルをインストールすると、ユーザが気づかないうちに不正ファイル「Toolbar.exe」が一時フォルダに作成されます。
インストールが完了すると、標的とするFacebookアカウントのメールアドレスまたはFacebook IDの入力を求めるウィンドウが表示されます。
さらに、正規のプログラムであるかのように見せかけるため、リクエストを処理中であることを示すウィンドウまで表示します。そして2〜5分後、目的のパスワードが見つかったとユーザに通知します。
ここからが本題です。パスワードを入手するには、29.99米ドルのプロダクトキーを購入しなければなりません。ユーザがプロダクトキーの購入を選択すると、以下のサイトに誘導されます。
http://{BLOCKED}bookhacking.com/p/unlock購入後、ユーザは再びメールアドレスまたはFacebook IDの入力を求められます。今度はキーが入力済みであるため、プログラムは次のような画面を表示します。
では、このプログラムはどのようにしてパスワードを入手したのでしょうか。仕組みは単純です。このプログラムは、ローカルのブラウザキャッシュに保存されたパスワードを復元して表示するために設計された、無料のサードパーティ製アプリケーションをダウンロードして利用していたのです。つまり、認証情報を取得できるのは、システムにパスワードを保存しているユーザに限られます。このサードパーティ製アプリ自体は正規のパスワード復元ツールですが、この攻撃では不正な目的に悪用されていました。
なお、ハッキングツールがサードパーティ製アプリのダウンロードに失敗した場合は、代わりに次のようなエラーメッセージが表示されます。
トレンドマイクロでは、この偽プログラムを「SPYW_FAKEHACK」として、作成される不正ファイル「Toolbar.exe」を「ADW_PLUGIN」として検出します。また、同僚のSarah Calaunanは、以下のサイトで売り出されている別のFacebook向けハッキングツールも確認しています。
ユーザがこのツール（「TROJ_DROPPER.ZGD」として検出）をダウンロードして実行すると、不正ファイル（「TROJ_VBINJECT.XG」として検出）が作成されます。この不正ファイルはキーロガーであり、特定のAPIをフックして感染システムから情報を窃取し、盗んだ情報を特定のURLへ送信します。
他人のFacebookパスワードに本人の同意なくアクセスできるという触れ込みに惹かれて、これらのツールをダウンロードしてしまうインターネットユーザもいるかもしれません。しかし幸いなことに、こうしたハッキングツールをダウンロードしたユーザが手にするのは目当てのパスワードではなく別物のパスワードであり、結局は偽のサービスに金銭を支払わされるだけの結果に終わります。
SOPAに便乗するFacebook上のアンケート詐欺
また、物議を醸している「オンライン海賊行為防止法案（SOPA: Stop Online Piracy Act）」に便乗した不審なウォール投稿も、Facebook上で複数確認されました。これらのウォール投稿に含まれるリンクをクリックしたユーザは、別のサイトへ誘導されます。
指示に従ったユーザは複数のページを経由し、最終的にアンケート詐欺ページへたどり着きます。これは、ユーザをアンケート詐欺に誘導する典型的なクリックジャッキング攻撃であり、被害に遭ったユーザは同じ不正なウォール投稿をFacebook上の友人へスパムとして拡散してしまいます。クリックジャッキング攻撃の詳細については、脅威データベースの記事「Think Before You Click: Truth Behind Clickjacking on Facebook」（英語）をご参照ください。
トレンドマイクロは、「Smart Protection Network™」（英語）によってこの脅威からユーザを保護します。これにより、ハッキングツールやアンケート詐欺をホストするサイトへのアクセスがブロックされ、関連する不正プログラムも検出・削除されます。9億100万人のユーザ（英語）を抱えるFacebookは、サイバー犯罪活動の格好の標的となっています。こうした脅威から身を守る方法については、デジタルライフに関する総合eガイド「A Guide to Threats in Social Media」（英語）をご参照ください。（追加分析：Sabrina Sioting）
参考記事
Hacking Tools, Survey Scam Target Facebook Users
By: TrendAI™ Research
翻訳：与那城 務（Platform Marketing, TrendAI Research）