新たなDOUBLECUP ClickFixサービス、ブラウザキャッシュの画像にマルウェアを隠蔽

DOUBLECUPというロシア発の新しい「ローダー・アズ・ア・サービス」は、ClickFix攻撃を利用して被害者のブラウザにキャッシュされたPNG画像に悪意あるコードを隠し、最終的にCountLoaderをWindowsおよびmacOSデバイスに、そしてDeviceManagerという新しいリモートアクセス型トロイの木馬(RAT)をWindowsシステムに配信します。

SOCRadarの脅威リサーチユニットによると、DOUBLECUPは2026年6月上旬から稼働しており、顧客にライセンスと、悪意あるキャンペーンの作成やウェブサイトに埋め込むコードの生成を行うGo言語製のWindowsツールを提供しているとのことです。

同サービスは、ステガノグラフィを用いたPNG画像のホスティング、セッション・シグナル用エンドポイントの管理、暗号鍵の提供、ペイロードの自動再構築など、攻撃実行に必要なインフラの大部分を担っています。

DOUBLECUPの顧客側は、ClickFixのプロンプトを表示するウェブサイトの作成とホスティング、生成されたフロントエンドコードの追加、そして必要に応じた追加の難読化や解析対策の実装を担当します。

SOCRadarは、213[.]139.77[.]109:9090にあるテストファイルを含む公開ディレクトリを調査している際にDOUBLECUPを発見しました。同じIPアドレスは後に、同サービスのライセンス管理パネルをホストしていることも確認されています。

攻撃を仕掛ける際、DOUBLECUPの顧客はGo言語製のWindowsアプリケーションを使い、キャンペーンのドメイン、URLパス、ステガノグラフィの手法、埋め込みタイプ、実行アクション、ペイロードの保存場所を設定します。

これにより、ステガノグラフィ画像のURLとファイルサイズ、セッション用エンドポイント、そしてChrome、Edge、Firefox、Brave、Operaそれぞれに合わせてカスタマイズされたコマンドを返すAPI設定用エンドポイントが生成されます。

攻撃者はその後、DOUBLECUPのコードを自分たちのClickFixサイトに追加します。このコードは設定情報を取得し、ステガノグラフィ画像を被害者のブラウザキャッシュに事前読み込みさせ、セッションを登録し、被害者のブラウザに合ったコマンドを選択して、ページが開かれた際にそれをクリップボードにコピーします。

ブラウザキャッシュに隠されたマルウェア

SOCRadarは新しいレポートの中で、NetSuite、Odoo、HubSpot、Salesforceを装ったログインページ上で偽のCAPTCHAプロンプトを使用するDOUBLECUPのClickFixキャンペーンを観測したと述べています。悪意あるコードは埋め込まれたiframeを通じて読み込まれていました。

被害者がこれらのサイトの一つを訪問すると、DOUBLECUPはセッションを登録し、被害者のパブリックIPアドレスを特定した上で、ブラウザに悪意あるPNG画像を強制的にダウンロード・キャッシュさせます。

続いてページには偽のCAPTCHA風の指示が表示され、クリップボードに自動的にコピーされたコマンドを訪問者に貼り付けて実行させようとします。

このコマンドが実行されると、正確なファイルサイズを手がかりにブラウザキャッシュ内からPNG画像を探し出し、findstrまたはcertutilコマンドを使って画像内に隠された第一段階のペイロードを復元・実行します。

この最初のペイロードが、ファイルレス型の第二段階ドロッパーを起動します。このドロッパーは被害者のパブリックIPv4アドレスを取得し、それを使って最終的な暗号化ペイロードの復号キーを生成します。

ドロッパーは復号したペイロードをハードコードされたSHA-256ハッシュと照合して検証した後、それをメモリ上で実行します。SOCRadarによると、最終的なペイロードはCountLoaderと、新種のDeviceManager RATだということです。

2種類のマルウェアペイロード

SOCRadarはDOUBLECUPを通じて配信される2つのマルウェアファミリーを特定しました。一つはWindowsとmacOSの両方を標的とするCountLoaderのアップデート版で、もう一つは、これまで報告例のなかったものとみられるDeviceManager RATです。

CountLoaderは感染システムに関する情報の収集に使われるほか、暗号資産ウォレットアプリケーションやブラウザ拡張機能の有無を確認し、Signal Desktopがインストールされているかどうかを判定し、スケジュールタスクを通じて永続化を確立します。

CountLoaderはまた、MSIパッケージ、PowerShellモジュール、DLLなどのファイルをダウンロードして実行することも可能です。

SOCRadarはさらに、IntelおよびApple Silicon両方のデバイス向けにコンパイルされたmacOS版も回収しており、これはLaunchAgentをインストールして永続化を図り、curl、sw_vers、system_profiler、ioregといった標準ユーティリティを使って攻撃者が管理するサーバーと通信します。

DOUBLECUPはまた、DeviceManagerマルウェアの配信にも使われていることが確認されています。これはPythonベースのモジュール式Windows RATで、ブロックチェーンのスマートコントラクトを利用してコマンド&コントロール(C2)サーバーのIPアドレスを特定します。

独立国家共同体(CIS)加盟国以外では、DeviceManagerはマシンGUID、ディスク識別子、ユーザーSID、ホスト名、ユーザー名、OSバージョン、アーキテクチャ、インストールされているアンチウイルスソフト、ドメイン情報を収集します。

このマルウェアはEtherHidingと呼ばれる手法を用い、EthereumまたはPolygonのスマートコントラクトから現在のC2アドレスを取得します。これにより、テイクダウンなどの妨害対策に対する耐性が高まっています。

このRATはDNSのAレコードおよびTXTレコードを使い、システム情報を窃取し、実行すべきコマンドを取得し、ペイロードをダウンロードし、コマンドの実行結果を攻撃者側に送信します。

ClickFix攻撃でステガノグラフィが使われたのはこれが初めてではありません。Huntressは以前にも、LummaC2やRhadamanthysのペイロードをPNG画像のピクセルデータ内に隠したキャンペーンを報告しています。