この攻撃活動は、数百に及ぶ類似ドメインや偽のソフトウェアダウンロードページ、そして選別されたMacユーザーから機密データを窃取するために設計されたターミナルコマンドを利用しています。
ClickFix攻撃は、従来の悪意あるアプリのダウンロードではなく、ソーシャルエンジニアリングを利用する手口です。被害者には偽の検証プロンプトやCAPTCHA、更新通知、あるいはダウンロードエラーが表示され、その後ターミナルにコマンドをコピー&ペーストするよう指示されます。
今回のケースでは、攻撃者は偽の「Download for macOS」ページを用意し、偽造した「Verified Publisher」ラベルと、ダウンロード手順の一部を装った難読化コマンドを表示していました。
Microsoftによれば、このキャンペーンは当初、悪意あるコマンドをWebページのソースコード内にそのまま露出させていました。そのため、スキャナーや防御側がインフラを特定しやすい状態になっていたといいます。
攻撃者側は現在、訪問者にClickFixの誘導を見せるかどうかを判定するサーバーサイドのフィンガープリンティングゲートを導入し、手口を変化させています。
悪意あるWebサイトは、偽のダウンロードページをすぐに表示するのではなく、まず小さなJavaScriptプロファイリングスクリプトを読み込みます。
このスクリプトは、navigator、screen、window、document、location、consoleといったブラウザオブジェクトから各種情報を収集します。
収集される情報には、ブラウザのユーザーエージェント、OSのプラットフォーム、言語設定、ブラウザベンダー、インストール済みプラグイン、ディスプレイ解像度、ピクセル比、リファラー、ページURL、ウィンドウサイズなどが含まれます。
このキャンペーンはWebGLのグラフィックデータも調べており、これにより攻撃者は訪問者が正規のAppleハードウェアを使用しているか、それとも仮想化・エミュレート・ソフトウェアレンダリングによる環境を使用しているかを判別できます。
さらに、タイムゾーン設定やタッチ入力への対応状況、ページがiframe内で動作しているかどうかも確認されます。
これらのシグナルにより、ヘッドレスブラウザやモバイルエミュレーター、解析ツール、サンドボックス環境、自動化されたセキュリティクローラーといった、疑わしいコンテキストを見抜くことができます。
このマルウェアの運用者は、開発者ツールやブラウザ操作の検知にもアンチ解析技術を用いています。その一つは、一時的な関数をブラウザのコンソールに出力した際に文字列へ変換されるかどうかを監視するものです。
もう一つは、通常のMP4コーデック対応チェック機能を悪用し、自動化ツールやステルスブラウザフレームワークに関連したブラウザの挙動改変を検知するというものです。
これらの情報を収集した後、ブラウザは気づかれないよう、フィンガープリントデータを攻撃者が管理するサーバーへ送信します。サーバー側は、それを基にどのコンテンツを返すかを決定します。
訪問者が本物のmacOSユーザーだと判断された場合は悪意あるClickFixページが表示される一方、クローラーや条件を満たさないデバイスと判定された場合には、空白のページや無害に見えるコンテンツ、あるいは偽のVPNやブラウザ拡張機能のランディングページが表示されると、Microsoftは述べています。
注: IPアドレスおよびドメインは、誤って解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無効化表記（例: [.]）としています。再有効化はMISP、VirusTotal、SIEMなど、管理された脅威インテリジェンス基盤上でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視化でSOCを強化し、MTTRを削減しましょう
翻訳元: https://cyberpress.org/clickfix-fingerprints-macos-users/
