MaaSキャンペーン、ClickFix・ErrTraffic・Cruciferraを組み合わせて展開

マルウェア・アズ・ア・サービス(MaaS)キャンペーンが、ClickFixのソーシャルエンジニアリングとErrTraffic配信サービス、Cruciferraローダーを組み合わせ、攻撃者にエンドポイントセキュリティのプロセスを無効化しながらマルウェアを配布する手段を提供していることがわかりました。

eSentireの脅威対応部門(TRU)は本日公開した最新のアドバイザリで、2026年7月下旬に確認されたErrTraffic生成型のClickFixキャンペーン複数件について説明しています。これらはCruciferraの配信を試みるものでした。

このローダーはアンダーグラウンドフォーラムで販売されており、アンチウイルスやエンドポイント検知・対応(EDR)のプロセスを停止させる機能を売りにしています。

侵害されたサイトをClickFix配信プラットフォームに変える手口

このキャンペーンは、難読化されたErrTrafficのJavaScriptが埋め込まれた侵害済みWordPressサイトから始まりました。

このスクリプトはイーサリアムのブロックチェーンを利用してコマンド&コントロール(C2)アドレスを解決した後、偽のGoogle reCAPTCHA、Cloudflare Turnstile、あるいはブルースクリーン(BSOD)を装ったルアー用のJavaScriptを取得します。

このルアーは悪意あるPowerShellコマンドを被害者のクリップボードにコピーし、それを貼り付けて実行するよう指示します。

続くPowerShellの追加ステージでは、正規のMicrosoft署名済みバイナリを利用してCruciferraのDLLをサイドロードします。このDLLはプロセスホローイングを使い、2つ目のMicrosoft署名済みバイナリであるServiceModelReg.exeにRemus情報窃取型マルウェアを注入します。

侵害されたWordPressサイトは、これまでにもClickFixマルウェアの配信に利用されてきましたが、今回のeSentireが確認したキャンペーンは、この手法を2つの別々のMaaSサービスと組み合わせている点が特徴です。

ErrTrafficは月額380ドルで宣伝されており、利用者にはカスタマイズ可能なClickFixテンプレート、キャンペーンの統計データ、フィルタリング機能、WordPressプラグイン生成ツールが提供されます。またブロックチェーンベースのインフラを利用することで、侵害済みWebサイトに埋め込むJavaScriptを変更せずにC2ドメインをローテーションできるようになっています。

CruciferraのEDR無力化パッケージは月額1,200ドルで、セキュリティ製品を無効化できるローダーとして宣伝されています。

このペイロードは、署名済みだが脆弱性のあるドライバDCRCVDrv.sysを悪用し、Windowsのカーネルレベルからセキュリティ関連プロセスを終了させます。eSentireの調査によれば、デフォルトで終了対象に設定されているプロセス名は145件にのぼり、その大半がアンチウイルスおよびEDR製品でした。

このドライバは現時点でMicrosoftやLOLDriversに認識されておらず、脆弱ドライバのブロックリストでは検知されません。eSentireは、ハッシュ値による直接ブロックを推奨しています。

EDR無力化の手口に関する詳細記事: ランサムウェアグループによるEDR無力化技術の利用が拡大

今回のキャンペーンは、攻撃者が各機能を自前で開発する代わりに、複数のMaaS製品を組み合わせることで配信、ソーシャルエンジニアリング、防御回避をそれぞれ外部委託できることを示しています。