ClickFixキャンペーン、EtherHidingでマルウェアを隠蔽——北朝鮮関連ウォレットの足跡が浮上

偽のmacOSアップデートを装うClickFix型攻撃が、EtherHidingを利用したコマンド&コントロール(C2)と北朝鮮(DPRK)関連の暗号資産ロンダリングネットワークを組み合わせて武器化されています。検索結果の何気ないクリックが、ブラウザ、エンドポイント、ブロックチェーン、取引所インフラにまたがるフルスタックの窃取作戦へと発展する仕組みです。

従来型のWeb C2とは異なり、このインプラントはEthereumのスマートコントラクトから稼働中のコマンド&コントロールエンドポイントを解決します。これはテイクダウンに強い「EtherHiding」と呼ばれる手法で、以前から北朝鮮関連クラスターUNC5342や「Contagious Interview」キャンペーンとの関連が指摘されてきました。

最初の誘い込みは、全画面表示でブラウザ上に再現される偽の「macOSシステムアップデートをインストール中/再起動」画面です。通常の操作を受け付けなくし、端末がフリーズしたか、あるいは再起動中であるかのように見せかけます。

被害者が指示を目にする前に、ページはbase64エンコードされた攻撃コマンドをひそかにクリップボードへコピーします。その後、ターミナルを開いてそれを貼り付けるよう促す、典型的なClickFixの手口です。

この起動プロセスは侵害されたページ上では一度きりのように見え、実際の危険はターミナル操作に集約されます。タブを閉じればシステムはクリーンなままですが、クリップボードのペイロードを貼り付けて実行すると、攻撃者に完全なリモートコード実行(RCE)権限を与えてしまいます。

実行されると、ドロッパーは必要に応じてNode.jsをインストールし、約38KBの難読化されたRAT(内部バージョンはv1.0.3)を起動します。このRATはブロックチェーンを設定レイヤーとして利用します。

約20の公開RPCエンドポイントに対してeth_callを実行し、インプラントはbase64データをXORデコードして{url, key}の値を取得します。これがC2の情報を定義しており、約5分ごとにビーコン通信を行い、攻撃者から送られてきたJavaScriptをeval()経由で実行し、同じ暗号化チャネルで結果を返します。

AllSecureの研究者らは、あるmacOS向けマルバタイジング(悪意ある広告)チェーンを発見しました。電気泳動装置に関するごく普通の検索から始まり、最終的にNode.jsバックドア、157種のウォレットを狙う情報窃取マルウェア、そしてClickFixのソーシャルエンジニアリングによって仕込まれる悪意あるChrome拡張機能へとつながっていきます。

NetworkSecurity

このチャネルを通じて、決まった順序でタスクが与えられます。まず、デスクトップおよび拡張機能ウォレット157種、ブラウザに保存された機密情報、SSH鍵、クラウドトークンを狙う情報窃取モジュール。次に、「Google Drive Offline」を装ってサイドロードされるMV3形式のChrome拡張機能で、Chromeの「Secure Preferences」を改ざんしてウォレットの資産を抜き取り、長期的にブラウザを監視し続けます。

rg-telemetry.sbs/apiとth-updates.sbs/analyticsを解決する2つの埋め込みEthereumアドレス(コントラクト)は、バイト単位で同一のコードを持ち残高ゼロのEtherHiding設定用コントラクトであることが判明しました。そのため調査担当者は、これらをデプロイし資金を投入したウォレットへと調査対象を切り替えることになりました。

ClickFixキャンペーンによるEtherHidingの活用

各コントラクトは、使い捨てのウォレットによって作成されており、次のような効率化された4段階の手順に従っていました。約0.0126 ETHを受け取る、コントラクトをデプロイする、設定を書き込む、約0.006 ETHを管理用ウォレットへ転送する、そして放棄する、という流れです。

バックドア側では、資金の出所がKuCoinの「17」ホットウォレットにたどれます。このウォレットは2026年5月28日から2026年7月30日の間に、281件の送金を通じて464.80 ETH(約890,000ドル相当)を送り出していました。

攻撃者側の資金プールは、9週間で約196万ドルを動かした後、資金を引き出されました。一方、拡張機能側はBinanceのUSDT出金を起点とするロンダリングネットワークから資金供給を受けており、その資金の受け皿はFake_Phishing2114928とタグ付けされ、アドレスポイズニング型のスパムで溢れていました。

この手口は、北朝鮮系のUNC5342およびContagious Interviewキャンペーンと符合しています。macOS向けClickFixの誘導手口、Ethereumスマートコントラクトを利用したEtherHiding C2、eval関数を用いたRCE、暗号資産・認証情報の窃取、そして取引所から資金供給を受ける使い捨てウォレット群という組み合わせは、2021年のHITBで発表された初期の「悪意あるコントラクト」研究が、実戦投入された国家主導の攻撃ツールへと成熟したことを示しています。

防御側は、該当のターミナルコマンドを実行した可能性のある端末はすべて侵害されたものとして扱うべきです。悪意あるLaunchAgentやキャッシュ化されたペイロードを削除し、すべての認証情報をローテーションし、クリーンな端末から暗号資産を移動させてください。

クリップボード経由で実行されるシェルのワンライナー、通常とは異なるキャッシュパスから起動されるNode.js、Chromeの「Secure Preferences」の改ざん、高権限を持つ拡張機能、そして公開RPCエンドポイントへの想定外のeth_call通信を調査対象としてください。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的に無害化表記(defang、例: [.])にしています。再度有効な表記に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤上でのみ行ってください。

100万ドルのデータ侵害補償は本物の保護なのか?: 無料の「AI SOC侵害補償」10項目ガイドをダウンロード

Darkweb monitoring