海賊版・アクティベーター装いの偽インストーラー：プロキシ化と分散計算の常駐を止める
クラックや無料ゲームを装う Inno Setup 製インストーラーが、WorldProxyPool（端末のプロキシ化）や CharityEngine／BOINC などの収益化ペイロードを入れる。信頼できない入手元を禁止し、PUA 保護とスケジュールタスク監視を入れる。
いつ使うか
- 社員・家族の PC で「無料ダウンロード」「アクティベーター」が話題になったとき
- 出口が住宅用プロキシっぽい通信や、見知らぬ分散計算クライアントが出たとき
観測されている動き
- オファー単位で外部と通信し実行結果を記録する偽インストーラー。
- WorldProxyPool は SYSTEM 権限のスケジュールタスクを複数作成（起動時実行、数分ごとの監視、時間ごとの更新）。
- 端末が第三者通信の中継や分散計算に無断利用される。
対策
- ソフトウェアは公式サイトまたは社内許可リストからのみ。検索連動広告の「ダウンロード」ボタンを使わない（広告ブロッカーも有効）。
- Windows の「望ましくない可能性のあるアプリ（PUA）」保護を有効にする。
- 新規のスケジュールタスク（特に SYSTEM）と、起動時／短周期の不明な実行ファイルを EDR でアラート。
- 感染が疑われたら、プロキシ設定・タスク・サービスを除去し、保存パスワードとセッションを更新する。出口 IP がレジデンシャルプロキシに載っていないかも確認。関連: 家庭用回線（レジデンシャルプロキシ）経由の不正ログインを見抜く
注意
- 収益化マルウェアはランサムほど派手でないが、社内回線が攻撃の踏み台になる。
- 攻撃の組み立て手順は書かない。入手元ポリシーと常駐監視に使う。