無料会員登録
インフォスティーラーは、パソコンやスマートフォンに保存されている認証情報、ブラウザCookie、保存済みパスワード、暗号資産ウォレット情報などを盗み出すことを目的としたマルウェアです。感染すると、端末そのものに大きな異常が見られなくても、メール、SaaS、VPN、金融サービスなどのアカウントが後から不正利用されることがあります。
感染経路として多いのは、OSの脆弱性を自動的に悪用するケースだけではありません。フィッシングメール、検索広告、偽ソフトウェア、偽CAPTCHAなどを使って利用者を誘導し、不正ファイルやPowerShellコマンドを自ら実行させる手口が多く使われます。
特に注意したいのが、ブラウザに保存されたCookieやセッショントークンの窃取です。これらが盗まれると、パスワードを変更したりMFAを設定していたりしても、既存のログイン状態を悪用される恐れがあります。
そこで本記事では、インフォスティーラーの主な感染経路、ClickFixや偽ダウンロードなど最近注意したい手口、感染後に盗まれる情報、企業や個人が実施したい対策、感染が疑われる場合の初動対応、フォレンジック調査で被害範囲を確認する方法までを解説します。
インフォスティーラーとは
インフォスティーラーは、端末内に保存されている認証情報や個人情報などを窃取し、攻撃者へ送信するマルウェアの総称です。
ブラウザに保存されたID・パスワード
ChromeやEdgeなどに保存されているログイン情報が窃取されると、メール、SNS、通販、クラウドサービスなどへ不正ログインされる可能性があります。
Cookie・セッショントークン
インフォスティーラーでは、パスワードだけでなく、ログイン済み状態を維持するCookieやセッション情報も狙われます。
有効なセッション情報が盗まれると、攻撃者が正規ユーザーのログイン状態を再利用するセッションハイジャックにつながる可能性があります。
クレジットカード・自動入力情報
ブラウザに保存されたカード情報やフォーム自動入力データなどが取得される場合もあります。
暗号資産ウォレット情報
暗号資産ウォレットのブラウザ拡張機能や関連ファイル、シードフレーズにつながる情報が狙われるケースがあります。
VPN・メール・SaaSなどの認証情報
VPN、RDP、Microsoft 365、Google Workspace、メールなどの認証情報が盗まれると、企業ネットワークへの侵入や横展開に利用される可能性があります。
感染後に目立った症状が出ないこともある
インフォスティーラーの目的は、端末を使用不能にすることではなく、情報を静かに盗むことです。
そのため、端末が普通に動作していても、すでに認証情報が外部へ送信されている可能性があります。
インフォスティーラーの主な感染経路
インフォスティーラーは、利用者自身にファイルやコマンドを実行させる形で感染するケースが多く見られます。
フィッシングメール・チャット
請求書、配送通知、社内資料、共有ファイル、業務連絡などを装って、利用者に添付ファイルやリンクを開かせる手口です。
LNK、JS、ZIP、ISO、MSI、EXEなどを実行させ、その後インフォスティーラーをダウンロード・起動する場合があります。
検索広告・SEO汚染
正規ソフトウェアを検索した利用者を、広告や検索上位に表示された偽ダウンロードサイトへ誘導する手口です。
「ソフト名＋download」「PDF変換」「動画編集」「AIツール」などの検索から、不正なインストーラーを取得させるケースがあります。
偽ソフトウェア・海賊版
クラック版、有料ソフトの無料版、ゲームチート、MOD、ユーティリティなどに見せかけてインフォスティーラーを配布する手口です。
利用者は正規ツールを入れたつもりでも、裏側で情報窃取マルウェアが動作することがあります。
偽CAPTCHA・ClickFix
最近特に注意したいのが、偽CAPTCHAやエラー修復画面を使ったClickFixです。
「Win＋Rを押してください」「Ctrl＋Vで貼り付けてください」「Enterを押してください」などと案内し、利用者自身にPowerShellなどの悪性コマンドを実行させます。
不正広告・改ざんWebサイト
偽のアップデート通知やダウンロードボタンを表示し、不正ファイルを取得させる手口があります。
広告ネットワークを悪用するマルバタイジングや、改ざんされた正規Webサイトが入口になる場合もあります。
悪性ブラウザ拡張機能
広告ブロッカー、動画ダウンロード、クーポン、AI補助などを装ったブラウザ拡張機能が、過剰な権限を利用して情報を取得するケースがあります。
クラウド・SNS・共有ストレージ
Teams、Slack、Discord、Telegram、SNSのDM、クラウド共有リンクなどから、不正なアーカイブやインストーラーを渡す手口です。
知人や取引先など信頼できる送信者になりすますことで、警戒を下げようとします。
USB・共有ストレージ
感染済みUSBメモリやネットワーク共有を経由し、ショートカットや実行ファイルなどを開かせるケースもあります。
脆弱性の悪用
未更新のOS、ブラウザ、Office、VPN機器、リモートアクセス製品などの脆弱性が侵入経路になることもあります。
初期侵入後に、攻撃者が追加ペイロードとしてインフォスティーラーを投入する場合があります。
「ファイルを開いた覚えがない」場合でも感染経路を広く確認する
インフォスティーラーは、メール添付だけから感染するわけではありません。
検索広告、ブラウザ拡張機能、偽CAPTCHA、クラウド共有など、日常的な操作の中に感染経路が隠れていることがあります。
インフォスティーラーで特に注意したいClickFixの手口
ClickFixは、通常のフィッシングとは異なり、利用者自身に正規のWindows機能を操作させてマルウェアを実行させる手口です。
偽CAPTCHAを表示する
「私はロボットではありません」など、正規CAPTCHAに似た画面を表示し、追加操作が必要であるように見せます。
Win＋Rを押すよう指示する
偽画面からWindowsの「ファイル名を指定して実行」を開くよう指示します。
正規CAPTCHAがWin＋RやPowerShellの起動を要求することはありません。
クリップボードのコマンドを貼り付けさせる
Webページ側で悪性コマンドをクリップボードへ入れ、利用者にCtrl＋Vで貼り付けさせる場合があります。
PowerShellなどからマルウェアを取得する
貼り付けたコマンドを実行すると、PowerShellなどから外部の不正ファイルをダウンロードし、そのまま起動する場合があります。
CAPTCHAでコマンド実行を求められたら中止する
通常のCAPTCHAは、画像選択やチェックボックスなどで利用者確認を行います。
Win＋R、PowerShell、ターミナル、コマンド貼り付けを求められた場合は、偽CAPTCHAを疑って操作を中止してください。
検索広告・偽ダウンロードから感染する仕組み
インフォスティーラーでは、ソフトウェアを探している利用者を狙い、正規サイトに似せた偽ダウンロードページへ誘導する手口も使われます。
スポンサー広告からアクセスしない
検索上部に表示されるスポンサー広告が、必ずしも正規ベンダーのサイトとは限りません。
ソフトウェアは、ベンダー公式サイトや公式ストアから取得することが重要です。
正規ドメインを確認する
一文字違いのドメイン、余分なハイフン、見慣れないサブドメインなどが使われる場合があります。
非公式インストーラーを避ける
「高速ダウンローダー」「Download Manager」など、正規ソフトとは別のインストーラーを介する場合は注意が必要です。
実行ファイルの署名を確認する
Windowsの実行ファイルでは、デジタル署名の発行元なども確認材料になります。
ただし、署名が存在するだけで安全とは限らないため、取得元と合わせて判断します。
インフォスティーラー感染後に起こる主な被害
インフォスティーラーに感染すると、端末から情報が盗まれた後に、別のサービスで不正利用が始まることがあります。
メール・SNS・SaaSアカウントの乗っ取り
保存済みID・パスワードが盗まれると、メール、SNS、Microsoft 365、Google Workspaceなどへ不正ログインされる可能性があります。
セッションハイジャック
ブラウザCookieやセッショントークンが有効なまま盗まれると、攻撃者が既存ログイン状態を悪用する可能性があります。
そのため、感染後は単純なパスワード変更だけでは不十分な場合があります。
企業ネットワークへの不正侵入
VPNやRDP、SaaSの認証情報が盗まれると、企業ネットワークへの侵入や横展開の入口に利用される可能性があります。
金融・暗号資産被害
カード情報や暗号資産ウォレット関連情報が窃取されると、不正決済や資産移転につながる可能性があります。
感染端末だけを直して終わらせない
インフォスティーラーでは、マルウェアを駆除できても、すでに盗まれた認証情報を攻撃者が保有している可能性があります。
そのため、端末の復旧と認証情報の失効を並行して進める必要があります。
インフォスティーラー感染を防ぐための対策
インフォスティーラー対策では、入口対策、実行制御、認証保護、EDR監視を組み合わせることが重要です。
偽CAPTCHA・ClickFixを周知する
「CAPTCHAがWin＋RやPowerShellを要求することはない」と従業員へ周知します。
単に「怪しいメールを開かない」という教育だけでは、ClickFixのようなWeb経由の手口を防ぎにくいためです。
ソフトウェア導入経路を制限する
管理者権限を必要最小限にし、許可されたソフトウェアだけを導入できる仕組みを整えます。
クラック版や非公式インストーラー、個人判断での業務ツール導入を制限することも重要です。
Web・DNS・メールで入口を減らす
URLフィルタリング、DNS保護、メール添付ファイルのサンドボックス、危険URL検査などを組み合わせます。
EDRで不審な実行連鎖を監視する
ブラウザやexplorer.exeから、powershell.exe、mshta.exe、rundll32.exe、wscript.exeなどが不自然に起動していないか監視します。
正規Windowsツールを悪用するLOLBIN経由の外部通信も重要な検知対象です。
ブラウザ保存パスワードへの依存を減らす
企業向けパスワードマネージャーを利用し、サービスごとに異なるパスワードを設定します。
可能であればFIDO2やパスキーなど、フィッシング耐性の高い認証方式も導入します。
- 非公式ソフト・クラック版を利用しません。
- CAPTCHAからコマンド実行を求められたら中止します。
- ソフトウェアは公式サイト・公式ストアから取得します。
- EDRでPowerShellやLOLBINの異常利用を監視します。
- パスワード使い回しをやめ、MFA・パスキーを利用します。
インフォスティーラー感染が疑われる場合の対処法
インフォスティーラー感染が疑われる場合は、マルウェアを削除するだけでなく、盗まれた可能性のある認証情報も同時に無効化する必要があります。
感染端末をネットワークから隔離する
EDRの隔離機能やネットワーク切断によって、感染端末からの追加通信を止めます。
ログや不審ファイルを保全する
実行ファイル、ダウンロード元URL、ブラウザ履歴、EDR検知、PowerShell実行履歴などを可能な範囲で保存します。
すぐに初期化すると、感染経路や外部通信を確認する証拠が失われる可能性があります。
別の安全な端末から認証情報を変更する
感染した可能性がある端末で新しいパスワードを入力すると、その認証情報まで再び取得される可能性があります。
メール、SaaS、VPN、金融サービスなどは別の安全な端末から変更してください。
セッション・トークンを失効する
パスワード変更だけでなく、ログインセッション、Cookie、リフレッシュトークンなどを失効させます。
Microsoft 365、Google Workspace、IdP、VPNなどでは全セッションの強制ログアウトも検討します。
他サービスへの不正ログインを確認する
メール、SaaS、VPN、クラウド、SNS、金融サービスなどのログイン履歴を確認し、不審なアクセスがないか調べます。
- 感染疑い端末をネットワークから隔離します。
- ブラウザ履歴・EDRログ・不審ファイルを保全します。
- 別の安全な端末から重要アカウントのパスワードを変更します。
- 既存セッション・Cookie・トークンを失効します。
- メール・SaaS・VPN・金融サービスの不正ログインを確認します。
インフォスティーラーでは、端末からマルウェアを削除できても、盗まれたCookieや認証情報が攻撃者側に残っている可能性があります。「駆除できたから安全」と判断しないことが重要です。
インフォスティーラーの感染経路と被害範囲をフォレンジック調査で確認する方法
インフォスティーラー感染では、「マルウェアが存在したか」だけでなく、どこから侵入し、何を盗み、どのサービスへ影響したのかを確認することが重要です。
感染経路・実行されたファイルやコマンド
ブラウザ履歴、ダウンロード履歴、PowerShell実行、EDRログ、実行ファイルなどを確認し、フィッシング、偽サイト、ClickFixなど、どの経路から感染した可能性があるのかを整理します。
ブラウザ・端末内の窃取対象
保存済みパスワード、ブラウザプロファイル、Cookie、暗号資産ウォレット関連情報など、攻撃者が取得可能だった情報を確認します。
外部通信・情報送信の痕跡
EDR、Proxy、DNS、FWなどの記録から、不審な外部サーバーへの通信やデータ送信がなかったかを確認します。
SaaS・メール・VPNへの不正ログイン
端末側の感染時刻と、Microsoft 365、Google Workspace、メール、VPNなどのサインインログを照合し、盗まれた認証情報が実際に悪用されていないか確認します。
インフォスティーラー感染をフォレンジック調査会社に相談する
インフォスティーラー感染では、ウイルス対策ソフトでマルウェアを削除できても、すでにパスワードやCookie、セッション情報が外部へ送信されている可能性があります。
特に、ClickFixでPowerShellを実行した、偽ソフトをインストールした、不審なブラウザ拡張機能を利用した後にログイン異常が起きている場合は、端末単体ではなく関連するアカウントまで確認する必要があります。
感染端末をすぐ初期化したり、ブラウザ履歴や不審ファイルを削除したりすると、感染経路や情報流出を確認する証拠が失われる恐れがあります。原因と被害範囲を明らかにしたい場合は、証拠を保全した状態でフォレンジック調査会社への相談を検討してください。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
インフォスティーラーは、ブラウザに保存されたID・パスワード、Cookie、セッショントークン、暗号資産ウォレット情報などを盗むマルウェアです。感染経路としては、フィッシング、検索広告、偽ソフトウェア、偽CAPTCHAを使うClickFix、不正広告、悪性ブラウザ拡張機能などがあります。
特に最近は、利用者自身にWin＋RやPowerShellを操作させるClickFixや、検索広告から偽ダウンロードサイトへ誘導する手口に注意が必要です。ソフトウェアは公式配布元から取得し、CAPTCHAでコマンド実行を要求された場合は操作を中止してください。
また、感染が疑われる場合は、マルウェアの削除だけで対応を終えないことが重要です。端末を隔離し、別の安全な端末からパスワード変更とセッション失効を行い、メール、SaaS、VPNなどへの不正ログインも確認してください。感染経路や情報流出範囲が判断できない場合は、証拠を残した状態でフォレンジック調査を検討することが重要です。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
