このサイトを正しく表示するには、最新のブラウザを使用し、Javascriptを有効化してください。

Twitchにアクセスするたびに、Microsoft Defenderがマルウェアを検出します

くろきほだか

かまた

返信ありがとうございます。既にMicrosoft Security Intelligenceのサイトにはファイルを提出済みです。

最新のMicrosoft Defenderの定義ファイルに更新したところ、今度は同じファイルがTrojan:Script/Wacatac.B!mlではなく、Trojan:Win32/Malgentとして検出されるようになりました。

残念ながら、検出されるマルウェアの種類が変わっただけで、依然として脅威として扱われているようです。再度、同じファイルを提出してみます。

状況のアップデートとしてご報告まで。

りら

このファイルはTwitchのサイトにアクセスした直後に配信されます。

検出されたGZipアーカイブ内には、高度に難読化されたJavaScriptファイルが含まれています。これだけ難読化されていると、Windows Defenderがこのファイルの検出を取り下げる可能性は低いでしょう。

短期的な解決策はTwitchにアクセスしないこと、長期的な解決策はTwitchがこのファイルの配信を停止することです。

くろきほだか

かまた

調べてみたところ、このような誤検出を引き起こしているのはTwitchだけではないようです。

以前、Microsoftのコミュニティで、多くのユーザーがウイルス対策ソフトやVPN、広告ブロック系のブラウザ拡張機能がトロイの木馬として誤検出されると報告していました。特にAvira Browser Safetyが生成するGZipアーカイブ内のファイルが、Defenderに脅威として検出されていたようです。これがその時のフォーラム投稿です。

edgeのキャッシュにTrojanDownloader:HTML/Elshutilo.Aが検出され続ける - Microsoft Community

最近のアップデートが、各種ブラウザのキャッシュファイルに対して誤検出を引き起こすようになったのかもしれません。

大竹

私もリアルタイムで全く同じ問題に直面しています。12日のフルスキャンでFirefoxのキャッシュから「Trojan:Script/Wacatac.H!ml」が検出されました。13日には「Trojan:Win32/Malgent」として再出現。FirefoxをアンインストールしてChromeに戻しましたが、今日14日にまた「Malgent」が検出されました。

私にとっても共通点はTwitchです。PCで怪しいことは一切しておらず、拡張機能もU-Block OriginとDark Readerしか入れていません。

結論として、これは無視してよいのでしょうか？ブラウザキャッシュ内のトロイの木馬は無害で、さらに今回は誤検出の可能性が高い、という認識で合っていますか？

りら

現在Twitchから配信されている問題のファイルは、PC上にしばらく存在してからDefenderに検出されることがあります。GZipファイルを展開（gunzip）すると、より早く検出を誘発できます。

以下のPowerShellコマンドを実行すると、Edgeのデフォルトキャッシュにファイルが存在するか確認できます。

gci "$env:localappdata\Microsoft\Edge\User Data\Default\Cache\Cache_Data" -file | ? {($_.Length -eq 74773) -and ((Get-FileHash $_.Fullname).Hash -eq '7437878a7a3b63af71b1d79efb8dc2ca9d739b2a15f1db99758b24606c68f1ab')} | fl Fullname

えぐち

りら

現状、Twitchにアクセスしない以外に解決策はないのでしょうか？集めた情報からすると、誤検出のようですが。

りら

えぐち

検出を避けるなら、Twitchに行かない以外の解決策はありません。あれほど高度に難読化されたスクリプトは、その目的を隠そうとしているため、検出されやすいのです。

ただ、Twitchにアクセスして何か実害があったという報告は今のところないので、検出を無視しても安全だとは思います。

えぐち

りら

なるほど。とりあえずDefenderにファイルを削除させて、しばらくTwitchには近づかないようにします。この問題に「同じ問題がある」と投票した88人がTwitchにも報告してくれるといいのですが。数日前にプッシュされたUIのベータアップデートと関係があるのかもしれませんね。いずれにせよ、数日は様子見します。

りら

えぐち

誤検出かどうかは、私には判断できません。あまりにも難読化されていて、その意図を読み取ることができないからです。ただ、ファイルはTwitchにアクセスした直後にキャッシュに書き込まれ、Defenderがそれを検出するのはずっと後です。つまり、その間に何か悪意のある挙動をしてDefenderや他のアンチウイルスソフトをトリガーしたわけではない、ということです。

えぐち

りら

了解です。最初の投稿者が提出したファイルが誤検出と判断されて、Microsoftが問題を解決してくれることを願うばかりです。Twitchが公式声明を出してくれると一番いいのですが。

りら

えぐち

参考までに、これがTwitchから配信されているJSファイルとそのスキャン結果です。

ファイルURL:https://k.twitchcdn.net/149e9513-01fa-4fb0-aad4-566afd725d1b/2d206a39-8ed7-437e-a3be-862e0f06eea3/p.js

URLスキャン結果 (VirusTotal):https://www.virustotal.com/gui/url/92bee4634cbf9b3cd692d91d629aac7573ea88b5508692e8e4c883d2088183ff

ファイルスキャン結果 (VirusTotal):https://www.virustotal.com/gui/file/a98aa488694bffe0c928f33c35810ac825fe202c727928fef2ecbe9d704a78d6

りら

【解決】 Windows Defenderは、問題となっていたTwitch.tvのファイルを検出しなくなったようです。

Assistant

【AIによる要約と一般的なアドバイス】

この一連の出来事は、「セキュリティソフトによる誤検出」の典型的な例です。最終的に解決したようですが、今後のために状況を整理し、同様の問題に遭遇した際の一般的な対処法をまとめます。

状況の要約

原因: Twitchがサイトで使用している、高度に難読化（obfuscated）されたJavaScriptファイルが原因でした。難読化はコードの動作を隠すため、セキュリティソフトのヒューリスティックスキャン（振る舞い検知）が「疑わしい」と判断し、マルウェアとしてフラグを立てることがあります。
経過: 当初Wacatacとして検出され、後にMalgentとして検出されるなど、定義ファイルの更新によって検出名が変わりました。これは、Microsoft側が報告を受けて分析を進める過程で起こり得ます。
解決: 最終的に、Microsoftがこのファイルを安全と判断し、定義ファイルを更新したため、検出されなくなりました。

同様の問題に遭遇した場合の対処法

慌てない: まずは冷静に状況を確認します。特に、特定のサイトやアプリを使った直後にのみ発生する場合、誤検出の可能性があります。

情報を集める: 今回のように、コミュニティフォーラムやSNSで同様の報告がないか検索します。多くのユーザーが同じ現象を報告している場合、誤検出の可能性が非常に高まります。

ファイルを提出する: 検出されたファイルをセキュリティソフトの開発元（今回はMicrosoft）に提出します。これにより、開発元がファイルを分析し、誤検出であれば修正してくれます。

システムと定義ファイルを最新に保つ: OSとセキュリティソフト、そして定義ファイルは常に最新の状態に保ちましょう。修正は定義ファイルの更新によって配布されることがほとんどです。

安易なシステム変更は避ける: 誤検出の可能性が高い段階で、OSのクリーンインストールなどの大きな変更を行うのは最後の手段です。まずは原因の特定に努めましょう。

今回のケースは、ユーザーコミュニティの情報共有と、開発元へのフィードバックによって解決に至った良い例と言えます。