偽のTeams／Google Meetの偽配布サイトで「Oyster」バックドアが再拡散|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年12月17日更新日時: 2025年12月17日

CyberProofのリサーチチームは、2025年11月中旬ごろから、検索結果を悪用したSEOポイズニング経由で「Oyster」バックドアが再び配布されていることを確認しました。
正規の Microsoft Teams や Google Meet のインストーラーを装った不正サイトにユーザーを誘導し、バックドアを仕込んだ実行ファイルをダウンロードさせる手口です。

Oyster（別名：Broomstick、CleanUpLoader）は、2023年9月にIBMの研究者が最初に報告したマルウェアファミリーで、2025年に入ってからはランサムウェア「Rhysida」など人手による侵入型攻撃でも悪用されていることが確認されています。

Oysterバックドアとは

Oysterは、単体で端末を暗号化するランサムウェアではなく、「侵入後の足場」として使われるバックドア兼ローダーです。
攻撃者はOysterを用いて、企業ネットワーク内に継続的なアクセス権を確保し、その後に以下のようなペイロードを追加投下できるようになります。

ランサムウェア
情報窃取ツール（クレデンシャルや機密ファイルの窃取）
横展開用ツール（内部ネットワークのさらなる侵害）

2025年7月には、CyberProofの研究者が「PuTTY」「WinSCP」など人気ITツールの偽ダウンロードサイトや悪意ある広告（マルバタイジング）を通じてOysterが配布されている事例を報告しており、今回はその標的がオンライン会議ツール（Teams / Google Meet）に広がった形と言えます。

SEOポイズニングとは？

今回の攻撃でも使われている「SEOポイズニング」は、検索エンジン最適化（SEO）を悪用して、検索結果の上位に悪意あるサイトを表示させる手口です。

攻撃者は、次のようなテクニックを組み合わせて、検索結果経由でユーザーを騙します。

人気キーワード（例：「Teams ダウンロード」「Google Meet download」など）を大量に埋め込んだページを作成
既存の正規サイトを侵害し、その中に悪意あるページやリダイレクトを仕込む
外部リンクやボットなどを使い、「人気のあるページ」に見せかけて検索順位を押し上げる
検索エンジンには正規コンテンツを見せつつ、ユーザーには別のマルウェア配布ページを表示する “クローク（cloaking）” 的な手法を使う場合もある

結果として、ユーザーは

「検索して一番上に出たから安全だろう」
「見た目がそれっぽいダウンロードページだから大丈夫だろう」

と誤認し、公式サイトではないページからソフトウェアをダウンロードしてしまうリスクが高まります。

今回のOysterキャンペーンもまさにこのパターンで、「Microsoft Teams」「Google Meet」といった馴染みのあるワードをエサに、SEOポイズニングで作った偽サイトへユーザーを誘導していることが確認されています。

今回確認された攻撃キャンペーンの概要

検索結果から偽ダウンロードページへ誘導

2025年9月ごろから他社SOCや研究者が報告していた通り、今回のキャンペーンでは次のような挙動が見られています。

「Microsoft Teams download」などで検索した際、
上位に偽のインストーラー配布ページが表示される
2025年11月には、「Google meet」を名乗るページから
Oysterバックドアが配布されるケースも確認

ユーザーは正規の配布元と信じてインストーラーをダウンロードしますが、その実体はOysterを展開する不正な実行ファイルです。

正規コード署名を悪用した「もっともらしさ」の演出

分析されたサンプルでは、信頼性を装うためにコードサイニング証明書が悪用されていました。

ファイル名：MSTeamsSetup.exe
- 発行者：LES LOGICIELS SYSTAMEX INC.（多くはすでに失効）
同社名義で署名された不審ファイルが他にも多数確認
ほかに Reach First Inc. 名義、S.N. ADVANCED SEWERAGE SOLUTIONS LTD 名義で署名されたサンプルも存在

ユーザーが「署名付きだし安全そうだ」と判断してしまう可能性があるだけでなく、
一部のセキュリティ製品の検知をすり抜ける要因にもなりえます。

感染後の挙動：AlphaSecurity.dll と永続化

解析されたサンプルはいずれも、実行後に共通した流れでOysterバックドアを展開します。

悪意あるDLLのドロップ
- %APPDATA%\Roaming に 「AlphaSecurity.dll」 を作成
タスクスケジューラへの登録（永続化）
- Windows タスクスケジューラに「AlphaSecurity」という名前のタスクを作成
- タスク定義ファイルのパス：
  C:\Windows\System32\Tasks\AlphaSecurity
- 約18分ごとに DLL を実行する設定

このタスクにより、PCを再起動してもOysterバックドアが自動的に起動し続けるため、
攻撃者は継続的に端末へアクセスする足場を維持できます。
その後、ネットワーク内の調査（偵察）、権限昇格、横展開、ランサムウェア展開などの一連の行為が行われる可能性があります。

確認されたインジケータ（IoC）

悪性ファイルハッシュ（一部）

ファイル名：MSTeamsSetup.exe

383b7fc4a150b448b32c840c300f6986
b4c3983a720400214202cb02894c9a97
e9d5e1e8c0adcdf0d2ce66f64b58a73d
29148575a488dc05401b6ae11d994aa3
d960a20a4635f5d300a9b8a9e0ad0998
c1dd2ca52fff54b8d65d3505d0011c88

ファイル名：Googlemeet.exe

3c936de4324a1d1c3e7f5f0219ef881b
1bb7ffe095f0a8426b52a01e23f2f882
01ddadf71b984fa3e8b68d381fe34ffb
8c0255552445edd5d5313f79d732a6f0

永続化タスク

C:\Windows\System32\Tasks\AlphaSecurity

想定されるリスクと今後の見通し

今回のキャンペーンは、2024年以降継続しているOyster配布手口の一環であり、

SEOポイズニング
マルバタイジング
正規ソフトを装った偽インストーラー

といった要素が組み合わされています。

過去のレポートでは、Oysterがランサムウェア「Rhysida」など人手による侵入型攻撃の前段階として利用されていた事例が確認されており、
単なるローカル感染に留まらず、企業ネットワーク全体の侵害・情報窃取・暗号化被害に発展するリスクがあります。

研究チームは、この脅威クラスターが少なくとも2026年にかけて継続・進化する可能性が高いと見ており、今後も標的となるソフト名や配布サイトのテーマを変えながらキャンペーンが続くと予測しています。

組織・利用者が取るべき対策

エンドユーザー向けの注意点

ソフトは公式サイト／公式ストアからのみダウンロードする
（検索結果や広告のリンクをそのまま信用しない）
「Teams ダウンロード」「Google Meet ダウンロード」などで検索した場合も、
URL・ドメイン名が公式かどうかを必ず確認する
不明な発行元の署名や、見慣れない会社名の署名が付いたインストーラーは実行しない

企業・セキュリティ担当者向け対策

上記IoC（ハッシュ、ドメイン、タスク名）を用いたログ・端末の横断調査
- %APPDATA%\Roaming\AlphaSecurity.dll
- C:\Windows\System32\Tasks\AlphaSecurity
  が存在しないか確認
不審なファイル・タスクが見つかった場合は、インシデントレスポンス手順に従い隔離・フォレンジック調査を実施
プロキシ／DNS／FWで関連ドメインをブロック
社内ポリシーとして「業務用ソフトは情報システム部が指定した場所からのみ取得可」とするなど、利用者任せにしない配布運用の整備
社員向けに、
- SEOポイズニングとは何か
- 「検索結果上位＝安全」ではないこと
  を含めたセキュリティ教育を継続的に実施