プロジェクト概要
このリポジトリは、64ビットWindowsデスクトップ向けの非公式な、アクティベーション済みと称するAxie Infinity自動化パッケージについて説明しています。テスト、デプロイ、オフラインインフラストラクチャ向けのスタンドアロン型ローカルビルドを提供するとされており、推定サイズは2.7 GBです。
READMEには、ボットが自動化するタスク、インターフェースの仕組み、対応するゲームバージョン、動作の設定方法が説明されていません。また、インストーラーの真正性を裏付けるソースコード、リリース署名、チェックサム、ライセンス、メンテナーの身元、技術文書もありません。
ファイルと公開者を独立して認証できるまでは、アクティベーション済み、スタンドアロン、オフラインといった主張を未検証のものとして扱ってください。
主張されている機能とビルドパラメーター
- 対象プラットフォーム: Windows x64デスクトップ。
- 配布形態: アクティベーション済みのスタンドアロンビルド。
- 推定サイズ: 2.7 GB。
- 想定環境: ローカルテスト、デプロイ、オフラインインフラストラクチャ。
- インストール方法: リモートスクリプトをダウンロードして直ちに実行するPowerShellコマンド。
これらは文書化されたボット機能ではなく、配布に関する主張です。READMEには、ゲームプレイ機能、スケジュール設定、アカウント制御、設定項目、対応ワークフローが記載されていません。
記載されたセットアップが危険な理由
提供されているPowerShellコマンドは、第三者のURLを組み立て、スクリプトテキストをダウンロードし、実行可能なコードに変換して直ちに実行します。この方法では、ユーザーが実行前に最終的なスクリプトを確認できず、リモートサーバーが時間の経過とともに異なる内容を返す可能性もあります。
トラブルシューティングの項目では、実行制限を回避し、リアルタイムのウイルス対策保護を一時的に無効にすることも推奨されています。これらの操作は、信頼できないコードを阻止するために設けられた保護機能を取り除きます。インストーラーを動作させるためだけに、この助言に従わないでください。
READMEに記載されたミラー同期日、アクティベーションに関する主張、ファイルサイズの推定値は、検証可能なリリースメタデータの代わりにはなりません。信頼できるリリースには、少なくとも安定したダウンロード元、暗号学的チェックサム、公開者情報、バージョン番号、できれば有効なデジタル署名が必要です。
セキュリティを重視したセットアップと検証
READMEにはパッケージを認証するのに十分な証拠がないため、最も安全なセットアップ手順は、コードの実行を許可する前に検証することです。
- 認可を確認する。誰がソフトウェアを公開しているのか、またその配布と使用が許可されているのかを確認します。Axie Infinityのボットおよびアカウント自動化に関する現行ルールも確認してください。
- 信頼できるリリース元を見つける。短縮されたURL、組み立てられたURL、ミラー、または無関係なダウンロードドメインだけに依存しないでください。独立して認証されたプロジェクトまたは公開者のチャンネルを通じてリリースを確認します。
- リリースメタデータを要求する。正確なバージョン、ファイル名、想定サイズ、SHA-256チェックサム、デジタル署名の詳細、リリースノートを入手します。
- 実行せずにダウンロードする。インストーラーまたはスクリプトを検査できるよう、ファイルとして保存します。ダウンロードしたテキストをPowerShellや別のインタープリターに直接パイプしないでください。
- スクリプトを検査する。追加のダウンロード、エンコードされたコマンド、永続化の仕組み、認証情報へのアクセス、セキュリティ除外設定、スケジュールタスク、レジストリ変更、予期しないネットワーク接続先を確認します。
- 整合性を検証する。ローカルのSHA-256ダイジェストを、別の信頼できる経路で公開されたチェックサムと比較します。
- パッケージをスキャンする。WindowsセキュリティとSmartScreenを有効に保ちます。検出を無効化するのではなく、調査してください。
- 隔離されたテストシステムを使用する。認可を得ており、検証にも成功した場合は、スナップショットを取得した使い捨ての仮想マシンを使用します。個人ファイル、保存済みブラウザーセッション、重要なゲームまたは暗号資産の認証情報は置かないでください。
- 動作を監視する。テスト中のプロセス、ファイル変更、スケジュールタスク、レジストリ変更、外向きのネットワーク接続を記録します。
SHA-256チェックサムの計算
信頼できるソースからパッケージを入手した後、Windows PowerShellで実行せずにダイジェストを計算できます。
Get-FileHash -Algorithm SHA256 -Path "C:\Path\To\DownloadedFile.exe"完全な結果を、検証済みのメンテナーが公開したチェックサムと比較します。チェックサムは2つのファイルが一致することだけを証明し、公開者やファイルが信頼できることを証明するものではありません。
デジタル署名の確認
パッケージに署名がある場合は、実行前にAuthenticodeの状態を確認します。
Get-AuthenticodeSignature -FilePath "C:\Path\To\DownloadedFile.exe"有効な署名には、想定される公開者が示されているはずです。署名のないファイル、不明な公開者、または無関係な組織による有効な署名については、さらなる調査が必要です。
基本的な使用方法と例
READMEには、インストールしたアプリケーションの起動方法、Axie Infinityアカウントへの接続方法、自動化タスクの選択方法、ボットの開始と停止方法が記載されていません。そのため、正確なゲームプレイまたは設定例を示すことはできません。
インストールが成功したように見えるというだけで、文書化されていない操作を推測したり、アカウント認証情報を入力したりしないでください。実際に使用する前に、以下を説明する文書を入手してください。
- アプリケーションが認証を行い、認証情報を保存する方法。
- 自動化する作業。
- 必要とする権限およびネットワークアクセス。
- 一時停止、停止、更新、アンインストールの方法。
- ログおよび設定ファイルの保存場所。
- その動作がゲームの現行の利用規約およびポリシーに準拠しているかどうか。
安全な検証例としては、認証済みのビルドを分離されたテスト環境内で起動し、実際のアカウントを使わずに動作を観察したうえで、ファイルとネットワークトラフィックがパブリッシャーの文書と一致することを確認する方法が挙げられます。
高度な評価のヒント
- 最小権限を使用する: 解析は標準のWindowsユーザーとして開始してください。文書化された機能が実際に必要とする場合を除き、管理者権限を付与しないでください。
- 身元を分離する: 未知の自動化ソフトウェアを、メインのゲームアカウント、ウォレット、メールアカウント、またはブラウザープロファイルでテストしないでください。
- ベースラインを取得する: テスト前に実行中のプロセス、スタートアップ項目、スケジュールされたタスク、サービス、ネットワーク接続を記録し、変更を特定しやすくしてください。
- 永続化を確認する: 実行後にスタートアップフォルダー、タスクスケジューラの項目、サービス、関連するレジストリの場所を調べてください。
- ネットワーク接続先を確認する: 無関係なホストへの予期しない接続は、追加のペイロードのダウンロードやデータ収集を示している可能性があります。
- ログを保存する: インシデントレビューに備えて、ハッシュ、タイムスタンプ、スキャンレポート、プロセスログ、ネットワーク記録を保管してください。
- 削除方法を計画する: 文書化されていないアンインストーラーを信頼するよりも、仮想マシンのスナップショットを元に戻す方法を優先してください。
- 更新のたびに再評価する: 以前に確認したインストーラーであっても、同じアドレスから提供される将来のスクリプトやファイルが安全だとは限りません。
結論
READMEでは、このパッケージは便利なスタンドアロンのWindowsビルドとして紹介されていますが、ボットの実際の機能について説明されておらず、インストーラーを信頼するために必要な証拠も提供されていません。PowerShellでダウンロードして実行するパターンと、セキュリティ制御を弱めるよう促す助言は、重大な警告サインです。提示されたコマンドをそのまま実行しないでください。パブリッシャーを認証し、ファイルを検査し、署名とハッシュを検証したうえで、承認された評価は分離環境に限定してください。