長年にわたり、CAPTCHA認証や「あなたが人間であることを証明してください」というプロンプトは、ウェブ閲覧における多少うっとうしいものの無害な一部として扱われてきました。
しかし今日、攻撃者はこの馴染み深さを強力なソーシャルエンジニアリング手法へと武器化しています。それが「ClickFix」と呼ばれる手口であり、新たなキャンペーンではこの戦術がmacOSユーザーを本格的に標的にしていることが明らかになりました。
脅威アクターはソフトウェアの脆弱性を悪用するのではなく、Terminal(ターミナル)上の偽の「検証」手順に従わせることで、ユーザー自身にMacを感染させるよう仕向けます。
ClickFixは、日常的なセキュリティチェックや確認作業に見せかけて悪意あるコマンドを潜ませるソーシャルエンジニアリング手法です。
攻撃者はペイロードを自動的に配布するのではなく、被害者自身にコマンドをコピーして実行させるよう仕向けます。
侵害されたサイトや偽サイト上では、ユーザーに対してCAPTCHA認証が失敗した、ブラウザにセキュリティアップデートが必要である、あるいは続行するには追加のチェックが必要であるといった内容が表示されます。そのページは、専門知識のないユーザーにとって技術的に聞こえるものの「普通」に感じられる手順を案内していきます。
Windowsの場合、従来型のClickFixの手順では、ユーザーにテキストの断片をコピーし、「ファイル名を指定して実行」ダイアログを開いて貼り付け、Enterキーを押すよう指示します。このテキスト断片は、ユーザー自身のアカウント権限のもとで密かにマルウェアをダウンロードし実行します。
被害者は自分が信頼できると信じているページの指示に従っているため、この過程で組み込みの警告は無視されてしまいます。
時間の経過とともに、攻撃者はFileFixやConsentFixといった関連手法を発展させてきました。これらはファイルエクスプローラーの操作やクラウドアカウントの同意フローを悪用するもので、いずれも同じ発想に基づいています。つまり、セキュリティ制御を直接迂回するのではなく、ユーザー自身に悪意ある操作を進んで実行させるという考え方です。
最近まで、報告されているClickFixキャンペーンの大半はWindowsを標的にしたものでした。Macユーザーを狙う事例は少なく、そのため「macOSは安全だ」という根強い神話が生まれていました。
しかし最新の攻撃活動は、その前提がもはや成り立たないことを示しています。同じ説得型の手法が今や、Appleのエコシステムとそのユーザーが持つ貴重なデータを標的にしているのです。
macOSを標的としたこのキャンペーンでも、攻撃はやはり偽のCAPTCHA認証や検証ゲートから始まります。
「あなたが人間であることを証明する」または「エラーを修正する」ために、ページはユーザーに特定のコマンドをコピーし、Terminalアプリを開いてコマンドを貼り付け、Enterキーを押すよう指示します。
技術に詳しくないユーザーからすると、これは正規のサポート対応のように見えるかもしれません。しかし実際には、この一手順だけで攻撃者にとっては十分だとKasperskyは述べています。
コマンドが実行されると、攻撃者が管理するサーバーから悪意あるディスクイメージ(DMG)が密かにダウンロードされ、ランダムな名前で/tmpディレクトリに保存されます。
続いて、スクリプトはFinderやデスクトップ上に表示することなくDMGをマウントするため、被害者には新しいドライブが現れたことが一切見えません。その後スクリプトは、この非表示のディスクイメージ内をスキャンしてアプリケーションバンドルやインストーラーパッケージを探し出し、自動的に起動します。
SOCの調査における死角を解消し、ANY.RUNによって脅威をより早期に封じ込めることで、対応コストと事業への支障を軽減できます。
翻訳元: https://cyberpress.org/mac-clickfix-verification-trap/
