サバイバルクラフトゲームのChemiaが、暗号資産ウォレットの情報やブラウザデータを盗む目的のマルウェアを配布していたことがサイバーセキュリティ研究者によって発見され、Steamプラットフォームから削除されました。このマルウェアは、Larva-208とも呼ばれるEncryptHubというサイバー犯罪グループに関連付けられています。同作は、開発中のゲームをプレイできるSteamの早期アクセスプログラムを通じて提供されていました。
Steam Removes Chemia After Hack
予約特典としてGTA+の1ヶ月サブスクリプションが付属します。
GTA 6の予約受付中
Steamゲームファイルに埋め込まれたマルウェア
サイバーセキュリティ企業のProdaftが公開したレポートによると、Chemiaのゲームファイルは7月22日に改ざんされ、HijackLoader、Vidar Stealer、Fickle Stealerという3種類のマルウェアが組み込まれていました。これらのマルウェアは、ブラウザに保存された認証情報、クッキー、デジタルウォレットのキーなど、ユーザーの機密情報を盗み出すために一般的に使用されるものです。
HijackLoaderは、バックグラウンドで密かに動作することで、攻撃者が感染システムに足場を築くことを可能にしました。さらにVidar StealerとFickle Stealerが、ブラウザベースのストレージや暗号資産関連のファイルを標的にして個人データを抽出していました。これらのツールはゲームのパフォーマンスに大きな影響を与えなかったため、ほとんどのユーザーは侵害に気づかないままでした。
Steam Removes Chemia After Hack
Telegramとリモートサーバーを標的にした攻撃
Prodaftの分析により、このマルウェアがコマンド＆コントロール（C2）チャネルとしてTelegramを利用していたことが判明しました。この仕組みを通じて、攻撃者はリモートで指示を送り、感染したマシンを制御していました。Vidar Stealerが使用するv9d9d.exeというファイルや、Fickle Stealerが使用するcclib.dllというダイナミックリンクライブラリとworker.ps1というPowerShellスクリプトの組み合わせなど、特定の実行ファイルやスクリプトを通じて追加の悪意あるファイルがダウンロードされていました。
これらのファイルは、soft-gets[.]comと特定された外部サイトからコードを取得していました。このリモートインフラストラクチャにより、マルウェアは活動を維持し、適応し続けることが可能でした。また、攻撃者はいつでも悪意あるコンポーネントを更新できるため、検知や削除の作業をより困難にしていました。
Steam Removes Chemia After Hack
Steamが公式声明なしにゲームを削除
この発見を受け、ValveはSteamストアからChemiaを削除しました。現在、同作のストアページは存在せず、プラットフォームのホームページにリダイレクトされるようになっています。Valveはこの削除に関して公式声明を発表しておらず、Chemiaの開発元であるAether Forge Studiosからもコメントは出されていません。複数のメディアが両者に問い合わせを行いましたが、回答は得られていません。
同作はSteamの早期アクセスプログラムを通じて配信されていましたが、同プログラムは以前から安全性やコンテンツのチェックが厳格ではないとの批判を受けてきました。このセクションのゲームは開発途上であるため、不正なコードの変更や不十分なレビュープロセスに対して脆弱である可能性があります。
Steam's Early Access Program
他の早期アクセス作品でもマルウェアが発見される
今回の事件は孤立したものではありません。今年初めには、Steamの他の早期アクセスゲーム（Sniper: Phantom's ResolutionおよびPirateFi）にも有害なソフトウェアが含まれていることが発見されました。PirateFiは暗号資産機能を内蔵したWeb3ベースのゲームとされていましたが、ChemiaとSniper: Phantom's Resolutionはブロックチェーン要素のない標準的なPCゲームでした。これら3タイトルはいずれも早期アクセスとして提供されており、Steamの現在のシステムが、未検証または開発中のタイトルを通じたマルウェアの配布を防ぐための十分な保護措置を提供しているのかという懸念が高まっています。
Sniper: Phantom's Resolution
EncryptHubとは何者か？
Chemia事件に関与したEncryptHubは、過去にも同様のマルウェアの組み合わせを使用して大規模なフィッシングキャンペーンを展開してきました。ある事例では、世界中で600以上の組織が被害を受けています。Prodaftの研究によると、同グループが最近Steamを配布プラットフォームとして利用しているのは、以前の手法を進化させたものであり、信頼できるサービスに対するユーザーの信頼を悪用することに焦点を当てています。
レポートでは、ゲームの実行ファイルはSteamから直接ダウンロードするユーザーにとって正当なものに見えたと指摘されています。このアプローチは従来のフィッシング手法を回避し、信頼できるデジタルストアフロントを通じたソーシャルエンジニアリングに依存していました。研究者は、無料ゲームや公開プレイテストにアクセスするユーザーは、無害なゲームの一部であると信じてマルウェアをダウンロード・インストールしてしまう可能性があるため、特に危険にさらされていると強調しました。
EncryptHub
増加するゲーム業界へのマルウェア攻撃
ビデオゲームを標的としたサイバーセキュリティの脅威は増加しています。Statistaのデータによると、過去10年間でマルウェア感染は87%増加しました。さらに、Cybersecurity Venturesは、サイバー犯罪による世界的な損害額が2025年までに10.5兆ドルに達し、2015年の3倍以上になると予測しています。Steamのような大規模なユーザーベースを持つデジタルプラットフォームは、ユーザーからの信頼度が高いため、頻繁な標的となっています。
デジタル通貨やWeb3サービスに関与しているユーザーは、このようなケースで特に脆弱です。ゲームが密かにウォレットのキーやログイン情報を抽出した場合、その経済的影響は即時かつ甚大なものになる可能性があります。Chemiaの事例は、ゲームとテクノロジーに精通した層の両方にサービスを提供するプラットフォームにおいて、より強力な検証プロセスが必要であることを浮き彫りにしました。
Hacks in Web3
推奨事項と現状
現在、ChemiaはSteamでダウンロードできなくなっています。しかし、サイバーセキュリティの専門家は、削除前にゲームをインストールしたユーザーのシステムは依然として感染している可能性があると警告しています。これらのユーザーは、最新のウイルス対策ツールを使用してコンピュータをスキャンし、暗号資産ウォレットや個人アカウントに異常な動きがないか監視することを推奨します。
EncryptHubがどのようにしてゲームファイルへのアクセス権を得たのかは依然として不明です。調査中の一つの可能性として内部者の関与が挙げられていますが、これは確認されていません。Aether Forge Studiosは、公式チャンネルやソーシャルメディアを通じて更新情報や回答を発表していません。
ファイル名、ドメイン、ファイルの挙動を含むマルウェアに関連する完全な技術的指標は、Prodaftによって公式GitHubページで公開されています。同ゲームに遭遇した可能性のあるユーザーやシステム管理者は、詳細な分析と検知サポートのためにこのリソースを参照することが推奨されます。
