偽のソフトウェアインストーラー：侵入前にWindows Updateを無効化し、Defenderを弱体化させる

The Hacker Newsは、偽のソフトウェアインストーラーによるキャンペーンを記録し、その手口がWindows Updateを無効化し、Microsoft Defenderの保護を低下させることから始まることを明らかにしました。これはもはや従来のドライブバイ攻撃ではなく、持続的な侵入の前兆です。

事実

The Hacker Newsは2026年9月2日に偽のソフトウェアインストーラーの活発なキャンペーンを報じた。これは古典的なドライブバイダウンロードの手法だが、注目すべき新たな工夫が加わっている。偽のインストーラーは実行されると、ペイロードを配置するだけでなく、Windows Updateを無効化し、Microsoft Defenderの保護機能を弱体化させる。

確認されたパターン：

1. ユーザーがインストーラーをダウンロードする（SEO、広告、偽の公式サイト経由）。
2. インストーラーが管理者権限を要求する（名目上は「ソフトウェアをインストールするため」）。
3. 権限が付与されると、Windows Updateの設定を変更し（長期間の一時停止、コンポーネントの無効化）、Defenderの機能を低下させる（フォルダーの除外、リアルタイム保護の無効化、サービスの改ざん）。
4. その後に初めてメインのペイロード（マルウェア、RAT、またはその後の侵入の足掛かり）が配置される。

影響を受ける対象

• Windowsの一般ユーザーと中小企業 - Microsoft Storeや検証済みのカタログを経由せず、検索エンジンや広告からソフトウェアをダウンロードするユーザー。
• 集中管理されていない業務用PC - MDM/AVが導入されておらず、ユーザーに管理者権限がある環境。
• テレワークで企業のSIに接続する個人所有PC - 管理されていないBYOD。

なぜこれが重要か

この進化は、我々が注視している「ターミナル経由のソーシャルエンジニアリング」の流れに沿ったものだ。ユーザーの技術的信頼を悪用するキャンペーン（偽のCAPTCHA、偽のブラウザーチェック、ClickFix、TerminalFix）と同じロジックだが、今回の手法はより一般ユーザー向けながら、根本的な考え方は同じ：ユーザーの自発的な行為を持続的な侵害に変える。

注目すべき3つの要素：

1. Windows Updateの無効化は戦略的。アップデートがないことで既知のCVEに対して脆弱なままとなり、攻撃者は後から再び侵入できるようになる。初期のペイロードをクリーンしても、扉は開いたまま。
2. Defenderの弱体化は隠密性を高める。アンチウイルスを完全に停止させる（これによりアラートが発生する）のではなく、キャンペーンはそれを盲目にする - フォルダーの除外、コンポーネントの無効化。見た目は緑のまま。
3. チェーンはモジュール式。偽のインストーラーは最終的なペイロードを埋め込んでいない。代わりに土台を整える。これにより、攻撃者はターゲットに応じて異なるペイロードを配信できる（個人はクリプトマイナー、企業はランサムウェア、高価値ターゲットはバックドア）。

今すぐ実施すべきこと

• 検索結果の広告からソフトウェアをダウンロードしない。常に公式URLか検証済みのカタログ（Microsoft Store、wingetのようなパッケージマネージャー、公式リポジトリ）を経由する。
• Windows UpdateとDefenderの状態を定期的に確認する（設定 → Windows Update / セキュリティ → ウイルスの脅威に対する保護）。自分で設定していない「一時停止中」や「除外あり」の状態は侵害の兆候。
• 企業の場合：EDRを導入し、ローカル管理者権限を無効化する。これがこの種のキャンペーンに対する唯一の信頼できるバリア。
• インシデント発生後：疑わしいPCでは、目に見えるマルウェアをクリーンするだけでなく、手動でWindows UpdateとDefenderを再有効化し、不明な除外をすべて削除してから再スキャンする。

覚えておくべきこと：管理者権限を要求する「インストーラー」がウィンドウを開くのに2秒以上かかる場合、おそらく信じているものとは違うことをしている。Windows UpdateとDefenderはデフォルトの二つのガードレールだ。理由もなくこれらが無効化されている場合、ユーザーは既に侵害されている。