ウェブ開発者のLemonyte氏が、ゲーム「BeamNG.drive」のMODにマルウェアを発見したと報告しました。Lemonyte氏は発見の経緯を解説しています。

How I Found Malware in a BeamNG Mod | Lemonyte

https://lemonyte.com/blog/beamng-malware



ある日Lemonyte氏がBeamNG.driveを起動したところ、起動直後にウイルス対策ソフトから通知が届きました。通知によると、特定のリンクへのアクセスを試みるcurlコマンド実行の試行があったようで、Lemonyte氏が調べるとリンク先は悪質なものでした。

調査によりコマンドがBeamNG.drive由来のものであることがわかったため、ゲームそのものが問題なのか、それともMODが問題なのかといった点を調べたところ、「American Road」というMODをオンにしたときのみ、コマンドが検知されることがわかりました。



Lemonyte氏がコードを解析したところ、american_road_patreon_banner.jsという名前のファイルに怪しいJavaScriptコードを見つけました。一見すると支援のバナーを表示するもののようでしたが、スクリプトの中で参照されているhtmlファイルが実際には存在しないこと、コンパイルされたCSSファイルを読み込む関数が不必要に複雑なことなどに気づいたLemonyte氏は、このコードが隠れたJavaScriptを実行していることを突き止めました。

仮想環境でコードを実行してみたところ、このコードは2019年に報告されたJavaScriptの脆弱(ぜいじゃく)性「CVE-2019-5825」を悪用し、境界外の実行可能メモリ位置にマシンコードを書き込んでいることが判明します。このコードにより、勝手にDLLファイルがダウンロードして実行され、ブラウザと仮想通貨ウォレットアプリからパスワードを盗む情報窃取ツールが作動してしまうとのことです。



Lemonyte氏はBeamNGチームに連絡し、数日以内に感染したMODのバージョンが公式リポジトリから削除され、作者のアカウントは停止されました。American Roadをインストールしている場合は、それを削除し、マルウェアがないかスキャンする必要があるとLemonyte氏は警告しています。MODのページからは、悪意のあるコードは4月1日に追加されていることがわかります。削除される前にすでに3500人以上がMODをダウンロードしているため、パスワードや個人情報を盗まれた人がいた可能性があるとのことです。