マイクロソフトは、攻撃者が同一のClickFixという誘導手口を使いつつ、侵害後の手法を変化させていると警告しています。これにより、関連するACR Stealerのインシデント同士の関連付けが難しくなっているといいます。
マイクロソフトは、認証情報やブラウザデータ、機密性の高い業務文書を窃取するために、ClickFix形式のソーシャルエンジニアリングを利用したACR Stealerの活動が最近急増しているとして、警告を発しています。
マイクロソフトの研究者は新たなレポートの中で、2026年4月下旬から6月中旬にかけて観測された2つの別個のキャンペーンについて詳しく説明しています。これらは同じ窃取目的でありながら、異なる実行手法を用いているとのことです。
このキャンペーンでは、偽の問題を解決させると称してユーザーを騙し、悪意のあるコマンドを実行させる手口が確認されています。マルウェアが実行されると、ブラウザに保存された認証情報やセッショントークン、文書ファイルを抽出します。これにより攻撃者は、クラウドサービスへのアクセスやユーザーへのなりすまし、さらには企業環境全体への追加侵入を行える可能性があります。
SwimlaneのリードセキュリティオートメーションアーキテクトであるNick Tausek氏は、攻撃者が2つの異なる攻撃チェーンを使い分けることで、個々の指標に基づいて調整された防御を回避しようとしている可能性があると指摘しています。「配信方法や実行パターンを変えることで、攻撃者は特定の既知のチェーンに合わせて調整された防御をかいくぐり、関連するインシデントが無関係に見えるようにできます」と同氏は述べています。「セキュリティチームは、この活動を別々の調査案件として分けてしまい、共通するマルウェアや目的の認識が遅れる可能性があります」
ACR Stealerは情報窃取型のマルウェアファミリーで、マイクロソフトはMaaS(マルウェア・アズ・ア・サービス)形式で提供されているとみており、Amatera Stealerとの関連も疑われています。
WebDAVベースとMSHTAベースの攻撃チェーン
両キャンペーンともClickFixによる誘導から始まりますが、マイクロソフトの分析によると、最初の実行以降は経路が分岐します。一方の攻撃チェーンは、WebDAVでホストされたDLL、PowerShell、Pythonローダー、スケジュールタスクによる永続化、さらには「EtherHiding」と呼ばれるブロックチェーンを利用したインフラまで用いて、検知やコマンド&コントロール(C2)の発見を困難にしています。
もう一方の攻撃チェーンはMSHTAを使い、大幅に難読化されたPowerShellやステガノグラフィーを駆使し、主にファイルレスのメモリ内実行によって、フォレンジック上の痕跡を最小限に抑えています。
「ACR Stealerで最も懸念すべき点は、窃取手法の柔軟性です。一方のチェーンは永続化と多層的なインフラに投資し、もう一方はメモリ内実行と痕跡の少なさを重視しています」とTausek氏は述べています。「防御側から見ればこれらは異なる手口に映りますが、いずれも単純なClickFixの誘導を、認証情報やトークン、業務文書の窃取へとつなげているのです」
マイクロソフトの研究者は、これらのキャンペーンへの対策がすでにDefenderに追加されていると述べています。「Microsoft Defender for Endpointは、環境寄生型(living-off-the-land)の実行、不審なWebDAVおよびMSHTAの活動、難読化されたPowerShell、スケジュールタスクによる永続化、メモリ内でのペイロード実行、そしてブラウザの認証情報窃取に対する動作ベースの検知を通じて、両キャンペーンの検出を支援できます」と同社は述べています。
ClickFixを標的とした検知などの対策
このレポートでは、いずれのキャンペーンもソフトウェアの脆弱性を悪用しておらず、もっぱらClickFixによるソーシャルエンジニアリングのみに依存している点が強調されています。
マイクロソフトはDefenderの顧客に対し、ClickFix攻撃が増加傾向にあると警告するとともに、ACR Stealerの配布時に観測されたClickFixベースの活動を通じて実行される不審なコマンドを特定するためのXDRクエリを公開しました。
マイクロソフトはまた、一般的な防御策として、不審なPowerShellの活動、MSHTAの実行、WebDAV接続、ブラウザの認証情報保存領域へのアクセス試行を監視することを推奨しています。同時に、一般的なマルウェア配布手法をブロックするために、Microsoft Defender SmartScreenや攻撃対象領域の縮小(ASR)ルールを有効にすることも推奨しています。
「これらのキャンペーンは、互いに直接連携しなくても効果を発揮します。両者が組み合わさることで曖昧さが生まれ、限られたSOCのリソースを圧迫することになります」とTausek氏は説明しています。同氏はさらに、セキュリティチームには、エンドポイント、ID、ネットワークの活動を一つの進行中の侵入として関連付けられるだけの可視性が必要だと付け加えています。
マイクロソフトはまた、防御側が検知ルールに追加できるよう、C2アドレスとペイロードのホスティングに使われたドメインの一覧も公開しています。
