Steamのディスカッションフォーラムがクリックフィックス(ClickFix)攻撃に悪用されています。ゲームやパソコンの不具合を解決する手段だと偽りながら、実際にはデバイスにクリプトマイナーを感染させる手口です。
BleepingComputerは読者からの情報提供でこのキャンペーンの存在を知りました。それによると、脅威アクターはランダムなSteamアカウントを作成し、ゲームのクラッシュやインベントリアイテムの消失といった技術的な問題を投稿したユーザーに対し、一見役立つ解決策を装った返信を投稿しているといいます。
脅威アクターは投稿への返信の中で、管理者権限でPowerShellを開き、問題を修正するためのコマンドを実行するよう他のメンバーに呼びかけます。しかし、実際にこのコマンドを実行すると、ひそかにXMRigマイナーの実行ファイルがダウンロードされ、パソコン上で起動されてしまいます。
この種の攻撃は「ClickFix」と呼ばれています。偽のエラーメッセージや確認プロンプト、トラブルシューティングの手順を表示し、被害者に悪意あるコマンドを自らの手で実行させるソーシャルエンジニアリングの手口です。
ClickFix攻撃は被害者自身の操作を必要としますが、抱えている問題に対する正当な解決策であるかのように見せかけることで効果を発揮します。
被害者自身がコマンドを手動で実行するため、通常であれば悪意あるコードの自動実行を阻止するはずのセキュリティ対策の一部も回避できてしまいます。
偽のWindows最適化ツールがマルウェアをインストール
今回のSteamキャンペーンで配布されているPowerShellスクリプトは、「msf utility \ PC Opt」という名前のWindows最適化ユーティリティを装っています。
起動すると、一時ファイルの削除、DNSキャッシュのクリア、ドライバーの更新、ディスクチェック、不要なスタートアップ項目の無効化、マルウェアのスキャン、Windowsイメージの修復、システムファイルチェッカーの実行など、数多くのメンテナンス作業を実行しているように見せかけるメッセージが表示されます。
しかし、これらの機能のほとんどは、実際にはうたわれている作業を実行していません。代わりに偽の進行状況メッセージを表示し、1.5秒から8秒のランダムな時間だけ処理を停止させることで、正規のユーティリティらしく見せかけています。
実際の悪意ある動作は「Advanced-Optimization」という名前の関数に隠されています。この関数はまずTLS証明書の検証を無効化し、管理者権限で実行されているかどうかを確認します。管理者権限がない場合は、管理者権限が必要である旨のエラーを表示して終了します。
昇格された権限で実行されると、スクリプトは「C:\Windows\Background」ディレクトリを作成し、それをMicrosoft Defenderのスキャン機能の除外対象に追加します。
さらに、「XMRig-[コンピュータ名]」という名前の既存のスケジュールタスクを停止しようと試み、インストールディレクトリから実行されている「xmrig」または「system」という名前のプロセスも終了させようとします。加えて、C:\Windows\Background\config.jsonとして保存されているXMRigの設定ファイルの削除も試みます。
このクリーンアップ処理が、同じマルウェアの以前のインストールの残骸を取り除くためのものなのか、それとも既にデバイス上に存在する別のマイナーを対象としたものなのかは不明です。
その後マルウェアは、TCPポート443経由で「msfconfig[.]icu」への接続を許可する一時的な送信用Windowsファイアウォールルールを作成し、https://msfconfig[.]icu:443/tmp/system.txtからXMRigマイナーのペイロードをダウンロードして、ランダムな名前の一時ファイルに保存します。
インストールを行う前に、スクリプトはダウンロードしたファイルが空でなく、有効な実行ファイルであることを確認します。問題がなければ、そのファイルをC:\Windows\Background\system.exeに移動します。
Windowsが起動するたびに実行されるよう、SYSTEM権限でsystem.exe実行ファイルを起動する「XMRig-[コンピュータ名]」という名前の新しいスケジュールタスクが作成されます。
一般的な原則として、たとえ現在直面している問題の解決策として提示されていたとしても、ディスカッションフォーラムで見知らぬユーザーから提供されたPowerShellコマンドを実行してはいけません。
このコマンドを実行してしまったユーザーは、「C:\Windows\Background」ディレクトリの存在、同パスに対するMicrosoft Defenderの除外設定、そして「XMRig-」で始まるスケジュールタスクの有無を確認する必要があります。
これらの侵害の痕跡が検出された場合は、直ちにウイルス対策プログラムを実行してマルウェアをスキャンし、検出されたものを削除してください。
マイナーが検出されなかった場合は、手動で「XMRig-[コンピュータ名]」スケジュールタスクを停止・削除し、C:\Windows\Backgroundに対するMicrosoft Defenderの除外設定を解除した上で、フォルダとその中身を削除してください。
結局のところ、ダウンロードされたペイロードが実行中に他の悪意ある動作を行っていなかったかどうかを確認する手立てはないため、オペレーティングシステムを再インストールする方が安全と言えるかもしれません。
攻撃者に先んじて、あらゆる防御層をテストする
セキュリティチームが記録できている攻撃成功事例はわずか54%、アラートが発せられるのは14%にとどまります。残りは環境内を見えないまま通過しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーションによってSIEMやEDRのルールをテストし、検知をすり抜ける脅威を防ぐ方法を紹介しています。
