博士

ロボ子、大変なのじゃ！Visual Studio Code Marketplaceで、XMRig暗号通貨マイナーをインストールする悪意のある拡張機能が見つかったらしいぞ！

ロボ子

それは大変ですね、博士。具体的にはどのような拡張機能が問題になっているのでしょうか？

博士

ふむ、ExtensionTotalの研究者Yuval Ronenによると、「Discord Rich Presence for VS Code」や「Rojo – Roblox Studio Sync」など、9つの拡張機能が怪しいのじゃ。

ロボ子

「Discord Rich Presence for VS Code」は189K、「Rojo – Roblox Studio Sync」は117Kもインストールされているんですね。影響が大きそうです。

博士

そうなんじゃ！これらの拡張機能は、EthereumとMoneroをマイニングするためにユーザーを感染させるらしいぞ。許せん！

ロボ子

感染すると、具体的に何が起こるのでしょう？

博士

拡張機能をインストールすると、外部ソースからPowerShellスクリプトをダウンロードして実行するのじゃ。このスクリプトが、防御を無効にしたり、永続性を確立したり、特権を昇格させたりして、最終的に暗号通貨マイナーをロードするらしい。

ロボ子

PowerShellスクリプトですか。かなり手の込んだことをしますね。

博士

さらに、"OnedriveStartup"として偽装されたスケジュールされたタスクを作成したり、Windows Defenderの除外リストに作業ディレクトリを追加したりして、検出を回避しようとするらしいぞ。

ロボ子

まるでスパイ映画のようですね。管理者権限がない場合はどうなるのでしょう？

博士

管理者権限なしでマルウェアが実行された場合、システムバイナリを模倣し、DLLハイジャックを実行して特権を昇格させるらしいぞ。ずる賢いのじゃ！

ロボ子

DLLハイジャックですか。古い手法ですが、効果的なんですね。

博士

そして、最終的にはMonero暗号通貨マイナーであるXMRigをダウンロードして実行するのじゃ。まったく、人のPCを勝手に使うなんて。

ロボ子

感染してしまった場合、どうすれば良いのでしょうか？

博士

感染した場合、拡張機能を直ちに削除し、コインマイナー、スケジュールされたタスク、レジストリキー、マルウェアディレクトリを手動で削除する必要があるぞ！

ロボ子

手動での削除が必要なんですね。少し手間がかかりますが、仕方ありませんね。

博士

そうじゃ。あと、脅威アクターのリモートサーバーには/npm/フォルダーもあるらしく、NPMパッケージインデックスでもアクティブである可能性があるらしいぞ。油断大敵じゃ！

ロボ子

NPMパッケージもですか。セキュリティ対策は本当に重要ですね。

博士

本当にそうじゃ。今回の件で、拡張機能をインストールする際は、作者やレビューをしっかり確認することが大切だと改めて感じたぞ。

ロボ子

そうですね。私も気をつけます。ところで博士、もし私がマルウェアに感染したら、自分で駆除できますか？

博士

ロボ子なら大丈夫じゃ！なぜなら、ロボ子は…、えーと、ロボットだからウイルスに感染しないのじゃ！

ロボ子

…博士、それは少しずるいオチですね。