偽ソフトウェア配布サイトでWindows Update無効化やDefender弱体化を図る攻撃が判明、Microsoftが報告

要点

• 正規ソフトウェアの配布サイトを精巧に模倣し、悪意あるインストーラーをダウンロードさせる攻撃キャンペーンが確認された。

• 被害端末ではWindows Update関連サービスの停止やMicrosoft Defenderの除外設定追加、バックアップの削除が行われる。

• 多国籍企業の中国拠点や中国語話者を中心に、医療、製造、行政、教育など幅広い業界で組織の侵害が確認されている。

• Microsoftは、一連の攻撃活動を中国の脅威グループ「Silver Fox」によるものと中程度の確度で推定している。

• Microsoftは2026年9月1日、信頼できるソフトウェアベンダーのWebサイトを偽装して悪質なインストーラーを配布するマルウェアキャンペーンを観測したとセキュリティブログで発表した。この攻撃は多国籍企業の中国拠点や中国語圏のユーザーを主な標的としており、医療、製造、ゲーム、テクノロジー、物流、行政、教育といった多様な分野で組織の侵害が発生しているという。同社は活動のパターンから、中国を拠点とする脅威クラスター「Silver Fox」（別名：Yinhu）による攻撃と中程度の確度で評価している。

正規ベンダーを精巧に模倣した配布サイトの手口

攻撃に用いられたWebサイトは「.com.cn」や「.hl.cn」のドメイン上に構築されており、中国語のおとりコンテンツを用いて利用者を誘導していた。ページ上には目立つダウンロードボタンが配置され、正規ベンダーの公式ページを忠実に再現したクローンサイトとして機能していたことが判明している。

偽装の対象となったソフトウェアやサービスには、Microsoft EdgeやBaidu Pan、電子書籍管理ツールのCalibre、作図ツールのdraw.io、セキュリティソフトのKaspersky、周辺機器管理ツールのRazerおよびSteelSeries、翻訳ツールの有道翻訳、ディスク管理ツールのDiskGeniusなどが含まれていた。

これらの偽サイトからソフトウェアをダウンロードしようとすると、「gehie246[.]com」からZIPアーカイブが取得される仕組みとなっていた。ダウンロードされるZIPファイルはファイル名こそ同一であるものの、リクエストごとにファイルのハッシュ値（データを一意に識別する計算値）が変化していたことから、サーバー側でアクセスごとに動的に生成されていたとみられている。

2種類の実行経路とタスクによる永続化

ダウンロードされたZIPアーカイブを展開すると、「a_instapp83353001.exe」や「ainst8663586104.exe」といったファイル名のラッパーインストーラーが現れ、実行時に第1段階のペイロード（不正なプログラム本体）が起動する。また、これとは別に、正規のWindows Installerサービスである「msiexec.exe」を悪用してランダムな名前の実行ファイルを起動させる第2の実行経路も確認されている。

いずれの手法においても、マルウェアは日常的なIT管理作業や業務タスクに見せかけたスケジュールされたタスク（タスクスケジューラ）を作成し、システム上での永続化を確立する。

さらに、SYSTEM権限で動作する短期間のスケジュールされたタスクを生成し、PowerShellコマンドを介してMicrosoft Defenderの検出除外設定を追加するほか、システムの復元ポイントであるボリュームシャドウコピーを削除する処理を実行する。加えて、標準ユーザーがマルウェアの格納ディレクトリを削除できないよう、Windowsのアクセス権管理コマンド「icacls」を用いてDACL（随意アクセス制御リスト）の改変を行っていた。

Windows Updateの妨害と外部通信の確立

システムへの定着とセキュリティの弱体化に加え、マルウェアはWindows Updateの機能を徹底して妨害する動作を見せていた。具体的には、「wuauserv」「UsoSvc」「uhssvc」「WaaSMedicSvc」といった更新関連サービスを停止および無効化し、更新用のDLL（プログラムの部品ファイル）の名前を変更した上で、アップデートのキャッシュフォルダである「SoftwareDistribution」を削除していたという。

これらの妨害工作を完了させた後、マルウェアは非標準のポート（5090、7031、7032、7088〜7090、8050、28290、28300）を用いたアプリケーション層プロトコルでC2（指令サーバー）との通信を確立する。通信先としては「iualef[.]net」や「oijfwe[.]net」といったドメインが確認されている。

攻撃の最終的な目的については現時点で明らかになっていない。Microsoft Defenderの自動攻撃中断機能（Attack Disruption）によって封じ込め手順が自動的に発動し、それ以上の被害拡大が抑止されたためと説明されている。

なお、今回の開示の直前には、Kasperskyが中国の壁紙管理ツール「QN Wallpaper」の改変版インストーラーを用いてValleyRAT（別名：WinOS 4.0）を感染させる攻撃手口を報告していた。Silver Foxは過去にも偽のダウンロードページを利用してGh0st RATやValleyRATを配布してきた経緯が知られている。