マルウェア配布サイトの見分け方｜怪しいダウンロードURLの安全確認

1. マルウェア配布URLを診断する

Google Safe Browsing API (v4) は MALWARE と SOCIAL_ENGINEERING の2系統でURLを分類します。Lookup API は1リクエスト最大500 URLまで照合可能です（非商用利用の範囲内）。

---

2. マルウェア配布サイトの典型シグナル

シグナル	具体例	根拠
偽アップデート通知	「Flash Player更新が必要」	Adobe Flash は2020年終了。現行ブラウザ向け更新通知は偽装
ソフトウェアクラック	「無料でPhotoshop/Office」	違法配布＋トロイの木馬同梱の報告が継続
新規ドメイン	取得30日未満の .xyz / .top	フィッシング・マルウェアキャンペーンで使い捨てドメインが多用される
HTTPダウンロード	http:// で .exe 配布	中間者改ざんリスク。正規ベンダーはHTTPS配布が基本

---

3. TDS（Traffic Distribution System）とは

Palo Alto Unit 42 の分析では、攻撃者が Traffic Distribution System（TDS） で訪問者を振り分け、ボットには benign ページ、標的ユーザーにはマルウェアダウンロードページを見せる cloaking（クローキング） が確認されています。

入口URL → 中間ドメイン1 → 中間ドメイン2 → マルウェア配布ページ
         （スキャナには benign ページを返す場合あり）

そのため「1回開いて問題なかった」だけでは安全とは限りません。URL構造と脅威DB照合をクリック前に行うことが重要です。

---

4. ダウンロード判断の分岐表

状況	判断	理由
公式ドメイン + HTTPS + 既知ベンダー	比較的安全	ただしサプライチェーン攻撃は別問題
検索広告経由の「ダウンロード」	高リスク	タイポスクワットLPへの誘導が多い
チェッカーで MALWARE 警告	取得禁止	Safe Browsing リスト登録済み
ZIP内に .exe + パスワード付き	高リスク	スキャン回避の定番手口

---

5. よくある失敗（Failure Boundary）

1. 「Windows Defenderが通したから安全」 — ゼロデイや難読化されたペイロードは検知をすり抜けることがあります。
2. ブラウザ拡張の「無料VPN/広告ブロック」 — ストア外配布の拡張はマルウェア化の報告があります。公式ストアのみ使用してください。
3. メール添付の invoice.exe — ビジネスメール偽装＋マルウェア添付はランサムウェア初期感染経路として継続報告されています。