脅威アクターは、偽のCAPTCHA認証ページと、エンドポイント防御を無効化できる商用マルウェアローダーを組み合わせ、被害者自らが悪意のあるPowerShellコマンドを手動実行するところから始まる、影響度の高い感染チェーンを作り上げています。
マルウェア除去ツール
2026年7月下旬、ErrTrafficというマルウェア・アズ・ア・サービス(MaaS)プラットフォームを通じて生成された複数のClickFixキャンペーンが確認され、EDR無効化機能を売りにアンダーグラウンドフォーラムで宣伝されているローダー「Cruciferra」の配布に使われていました。
eSentireのTRU(Threat Response Unit)は、独自の脅威リサーチを行い、新たに出現するキャンペーンに対する検知コンテンツを開発しています。
被害者は、難読化されたJavaScriptインプラントが仕込まれた侵害済みWordPressサイトへ誘導されます。
ErrTrafficのスクリプトは設定情報をデコードし、Polygonスマートコントラクトに問い合わせて有効なコマンド&コントロール(C2)ドメインを取得したうえで、カスタマイズされたClickFixページ用のJavaScriptを取得します。
このページはGoogle reCAPTCHA、Cloudflare Turnstile、あるいはWindowsのブルースクリーン(BSOD)を装い、被害者のクリップボードにPowerShellコマンドを仕込みます。
その後、被害者に対してWindowsのクイックリンクメニューからPowerShellを開き、クリップボードの内容を貼り付けて実行するよう指示します。
この操作こそが重要なポイントです。ブラウザやOSの脆弱性を突くのではなく、被害者自身に感染チェーンを実行させることで、悪意のあるダウンロードやドライブバイ攻撃のみに焦点を当てた対策を回避できる可能性があります。
ErrTrafficは、LenAIとして知られる人物によってサービスとして販売されており、月額380ドルとされています。
その運用者向けパネルは、おとりのカスタマイズ、ジオフェンシングやリファラーによるフィルタリング、キャンペーン分析、ペイロード配信、そしてWordPressインジェクトを生成するツールをサポートしています。
C2インフラのローテーションにデッドドロップ・リゾルバーとしてPolygonスマートコントラクトを利用することで、運用者は侵害済みWebサイトに既に埋め込まれたJavaScriptを変更することなく、堅牢な方法でインフラを切り替えることができます。
eSentireの研究者らは、この活動がソーシャルエンジニアリング、ブロックチェーンを裏付けとするコマンド&コントロールインフラ、DLLサイドローディング、そしてBring Your Own Vulnerable Driver(BYOVD)といった手法を組み合わせ、再現可能なマルウェア配布サービスとして構築されていることを示していると述べています。
偽CAPTCHAでマルウェアを展開
後続の段階では、Microsoftが署名した正規の実行ファイルと、悪意のあるmscoree.dllを通じてCruciferraが読み込まれます。
これはMITRE ATT&CKでT1574.001として分類されるDLLサイドローディングであり、攻撃者が悪意のあるDLLを配置し、信頼されたアプリケーションにそれを読み込ませる手法です。
この手法により、実行を正規プロセスの陰に隠すことができ、レピュテーションベースの対策の有効性を下げることが可能です。
続いてCruciferraはプロセスホロウイングを用いて、情報窃取型マルウェア「Remus」を、これもMicrosoft署名済みのバイナリであるServiceModelReg.exeのアドレス空間に注入します。
ErrTrafficのパネル内では、運用者がおとりの見た目を、CloudFlare/Google CAPTCHAまたはブルースクリーン(BSOD)エラーのいずれかにカスタマイズでき、CAPTCHAページに表示されるドメイン名も設定できます。
MITREは、プロセスホロウイングについて、サスペンド状態のプロセスを作成し、そのメモリを悪意のあるコードに置き換えたうえで再開させることで、マルウェアが一見正規のプロセスの正体で実行される手法であると説明しています。
マルウェア除去ツール
最も破壊的なオプション機能は、CruciferraのEDRキラー機能です。運用者によって設定され、管理者権限で実行されると、このマルウェアはCOM Elevation MonikerによるUACバイパスを試み、署名済みだが脆弱性を持つMocoMsysドライバーDCRCVDrv.sysをC:\Windows\Temp\に配置し、サービスとして登録します。
このドライバーは、ユーザーモードのソフトウェアから任意のプロセスをカーネルモードで強制終了させることを可能にするIOCTLを公開しています。
Cruciferraはこの機能を悪用し、Microsoft Defender、Microsoft Defender for Endpoint、CrowdStrike Falcon、SentinelOne、Sophos、Bitdefender、Cortex XDRなど、145種類ものアンチウイルスおよびEDR関連プロセスを強制終了させます。
これはBYOVD攻撃であり、攻撃者が正規だが脆弱なドライバーを悪用してカーネルレベルの機能を獲得し、セキュリティツールを改ざんする手口です。
以前のCruciferraに関する調査でも同様に、このローダーが脆弱なヘルパードライバーを利用していること、API・IATのアンフック、間接システムコール、UACバイパス、そして解析回避の仕組みを備えていることが報告されています。
Proofpointは、Cruciferraを複数の無関係なサイバー犯罪グループがRATや情報窃取型マルウェアを配布するために利用する暗号化サービス(crypter)であると評価しています。
防御側は、コマンドをシェルにコピーさせようとする偽の認証ページを、デフォルトで悪意のあるものとして扱うべきです。
組織は、PowerShellをブロックまたは厳格に管理し、想定外のドライバーサービス作成やWindowsの一時ディレクトリへの書き込みを監視し、該当する場合はMicrosoftの脆弱ドライバーブロックリストを有効化し、署名済みバイナリによる不審なDLL読み込みに対して警告を出すべきです。
脅威ハンティングにおいても、ユーザー操作起点のブラウザ活動から起動されるPowerShell、異常なServiceModelReg.exeの実行、プロセスホロウイングのテレメトリ、そして不審なWebインジェクトに関連するブロックチェーンRPCインフラへの通信を優先的に確認すべきです。
★ どのセキュリティツールを削減すべきか?1ページでスコアリング – 継承セキュリティスタックガイドをダウンロード
セキュリティコンサルティングサービス
翻訳元: https://gbhackers.com/fake-captcha-to-deploy-malware/
