ClickFixドメイン250以上、macOSマルウェアをセキュリティスキャナーから隠蔽

250を超えるClickFixドメインがブラウザフィンガープリンティングを利用し、macOSマルウェアの誘導コンテンツをセキュリティスキャナーから隠蔽していることが分かりました。

Microsoft Threat Intelligenceによると、このキャンペーンは訪問者が本物のMacであるかどうかを確認したうえで、Atomic StealerやMacSyncのダウンロードにつながる悪意ある指示を表示しているといいます。 

クローラーやサンドボックス、研究者に対しては、空白のページや無害に見えるおとりコンテンツが代わりに表示されるため、インフラの検出や調査が難しくなっています。

ClickFixドメイン、誘導表示前に訪問者を選別

Microsoftによると、このキャンペーンの初期段階では、悪意ある指示やクリップボード操作のロジック、シェルコマンド、ステージングアドレスがページのHTML内にそのまま露出していました。

その後、攻撃者はClickFixの誘導コンテンツの手前にサーバー側のゲートを設置しました。軽量なJavaScriptルーチンが各訪問者に関する情報を収集してサーバーに送信し、サーバー側がどのコンテンツを返すかを判断する仕組みです。

チェック対象には、ブラウザが報告するプラットフォーム、画面サイズ、ウィンドウサイズ、タイムゾーン、タッチ操作対応の有無、WebGLグラフィック情報などが含まれます。このスクリプトはさらに、ページがiframe内で動作しているか、仮想マシン上か、エミュレート環境か、あるいは開発者ツールを開いた状態のブラウザかどうかも調べます。

本物のMacを使用していると判定された訪問者には、GitHub風の偽の「認証済み発行元」バッジが付いたダウンロードページが表示される場合があります。それ以外の訪問者には、空白のページや偽のブラウザ拡張機能、無関係な企業サイトが表示されることもあります。

「一見無害に見える、あるいは正規サイトに似せたレスポンスが返ってきたからといって、そのドメインが安全とは限りません」とMicrosoftは警告しています。

攻撃には依然としてターミナルコマンドが必要

The Hacker Newsは、フィンガープリンティングによるゲートによって悪意あるページの配信方法は変わったものの、根底にあるClickFixの手口自体は変わっていないと指摘しています。

被害者は難読化されたコマンドをコピーし、macOSのターミナルで実行するよう誘導されます。このコマンドは/curl/<id>というパスにアクセスし、追加のスクリプトを取得してペイロードを起動します。

Microsoftによると、この広範なインフラ群からはMacSyncとAtomic Stealer(別名AMOS)が配布されていました。今回フィンガープリンティングゲートを通じて解析された攻撃チェーンの最終段階はAMOSでした。

このマルウェアは、認証情報やブラウザ情報、認証データ、暗号資産ウォレット、機密ファイルなどを狙う可能性があります。Microsoftは被害者数や標的となった業界、このキャンペーンの実行主体については明らかにしていません。

防御側はドメインだけでなくゲート自体を追跡すべき

これらのドメインの多くは「file」という単語と辞書に載っている単語を組み合わせていますが、Microsoftはこの命名規則はあくまで調査の手がかりの一つに過ぎないと注意を促しています。使い捨てのドメイン名は迅速に変化する可能性があり、関連ドメインの中にはこのパターンに従わないものもあります。

セキュリティチームは、こうした命名の傾向を、フィンガープリンティングゲートや共有されているステージングインフラ、自己送信フォーム、隠されたフィンガープリント用フィールド、そして「mode: “php”」というアーティファクトと突き合わせて分析すべきです。

エンドポイント監視においても、ブラウジング行動の後に続く不審なターミナル操作、特に以下のような挙動にはフラグを立てる必要があります。

• curlコマンドをzshにパイプする挙動
• Base64のデコードやosascriptの実行
• アーカイブの作成に続く、外部への不審なHTTP POST通信

ユーザーは、WebサイトやCAPTCHA、チャットメッセージ、ダウンロードページなど、コマンドをターミナルに貼り付けるよう求めてくるものはすべて悪意あるものとして扱うべきです。

今回のキャンペーンは、スキャンでクリーンな結果が出たからといって、不審なドメインを必ずしも安全と判断できるわけではないことを示しています。攻撃者が訪問者ごとに表示内容を選別できる以上、防御側は単一のページのレスポンスを鵜呑みにするのではなく、ブラウザの挙動やインフラのパターン、エンドポイントの活動を総合的に検証する必要があります。

DocuSignを装ったフィッシングキットが、正規のリモート監視・管理ツールを悪用してWindowsおよびmacOSデバイスへの永続的な侵入を確立した手口については、こちらの記事をご覧ください。

Kezia Jungco

Kezia Jungco is a technology writer and researcher specializing in artificial intelligence, data analytics, CRM software, cloud infrastructure, cybersecurity, and emerging business technologies. With more than five years of experience evaluating software platforms and technology solutions, she helps business leaders understand the tools and trends shaping the future of work.
Kezia has extensive hands-on experience testing and analyzing generative AI platforms, chatbots, natural language processing (NLP) tools, CRM systems, and business software. Her work focuses on translating complex technologies into practical insights that help organizations make informed decisions about technology adoption, operational efficiency, and digital transformation.
As a staff writer for TechnologyAdvice, Kezia covers AI innovation, business applications of machine learning, data-driven technologies, cloud computing, cybersecurity, and sales technology. Her background in journalism, research, and education enables her to combine rigorous analysis with clear, accessible reporting for both enterprise and consumer audiences.
Kezia holds a bachelor’s degree in Development Communication with a major in Development Journalism from the University of the Philippines Los Baños. She has also completed professional training in artificial intelligence, data privacy, and information security. Her work has been featured in TechnologyAdvice, TechRepublic, eWeek, Datamation, and Selling Signals, where she helps readers navigate a rapidly evolving technology landscape with practical, research-driven guidance.