WordPressサイト数百件が乗っ取られ、偽reCAPTCHAでWindowsパスワードを窃取

数百件に及ぶ侵害済みWordPressサイトが、高度なマルウェア配布キャンペーンに悪用されていることが分かりました。このキャンペーンは、ブラウザ上での永続化、ブロックチェーンでホストされるペイロード、偽のreCAPTCHAプロンプト、そしてファイルレス実行を組み合わせ、Windowsシステムに情報窃取マルウェア「Amatera」を展開するものです。

今回のキャンペーンが際立っているのは、悪意あるロジックを9層にわたって配置し、痕跡を最小限に抑えるよう設計されている点です。従来型のペイロードサーバーを使わず、ハッシュ照合に役立つファイルもほとんど残さず、サイト側の駆除後も生き残り得るブラウザ常駐型の永続化メカニズムを備えています。

侵害の起点となるのは、front-probe.jsを注入し、nochain-sw.jsという名前のService Workerを登録する悪意あるプラグインです。Service Workerは本来、オフラインコンテンツやリクエスト処理を支援するために設計されたブラウザコンポーネントです。

しかし今回のケースでは、このコードがHTMLレスポンスを横取りしてContent-Security-Policyヘッダーを除去し、訪問者が閲覧するページに攻撃者が制御するJavaScriptを注入します。

skipWaiting()とclients.claim()によって即座に有効化されるため、新しいブラウザセッションを待たずに閲覧セッションを制御下に置くことができます。

このService Workerは、WordPress管理者を意図的に避けるよう作られています。/wp-admin、/wp-login.php、wordpress_logged_in_ Cookie、あるいは攻撃者が制御するnc_skip=1 Cookieが関わるリクエストはスキップされます。

この選択的なフィルタリングにより、ログアウト状態の一般訪問者には偽の認証プロンプトが表示される一方、侵害に最も気付きやすいサイト所有者本人はそれを目にすることがありません。

注入されたJavaScriptはBaseブロックチェーンに接続し、スマートコントラクト0x58460d0b3d4d6b03761c89120393c0c676676496に問い合わせを行います。

攻撃者は次段階のコードを、乗っ取ったウェブサイトや使い捨てサーバー上に直接ホストする代わりに、コントラクトのデータとしてペイロードの内容を保存し、読み取り専用のRPC呼び出しを通じて取得します。

この手法は「EtherHiding」として知られており、攻撃者は侵害したサイト自体を変更することなく下流の命令を更新できます。防御側がオンチェーンのスマートコントラクトを単純に押収したりシンクホール化したりできないため、テイクダウン対応が一段と難しくなります。

独自の調査によると、同じBaseコントラクトが「NoChain」と呼ばれる偽の検証フレームワークと、ClickFix型のコンテンツの両方を配信していることが確認されています。

このコントラクトは、偽物のGoogle reCAPTCHAオーバーレイ用のHTMLを返します。Windowsユーザーが検証用のチェックボックスをクリックすると、ページはmshta http://timelevel12[.]com/bigというコマンドをクリップボードにコピーし、被害者にWin+Rを押してこのコマンドを貼り付け、実行するよう指示します。

この社会工学的な手法は広く「ClickFix」として知られており、被害者自身を実行機構に仕立て上げます。悪意あるダウンロードや添付ファイルを実行前に検知することに依存するセキュリティ対策を回避できてしまいます。

Databreach prevention

Netskope Threat Labsはこの活動を、site-helper-<hex>という名前の不正なWordPressmust-useプラグインに突き止めました。これらは影響を受けたサイトで自動的に読み込まれます。

Microsoftは、ClickFixおよびTerminalFixのキャンペーンが、mshta、PowerShell、cmd、WMI、スケジュールタスクといったWindowsのユーティリティを悪用するケースが増えていると警告しています。

乗っ取られたWordPressサイト

このコマンドは、一見MP3ファイルに見えながらHTAアプリケーションを埋め込んだポリグロットファイルを取得します。Windowsの正規ユーティリティであるmshta.exeがこのHTAコンテンツを処理し、非表示のスケジュールタスクを作成してエンコードされたPowerShellコマンドを起動します。

報告によれば、次の段階ではConstrained Language Modeが回避され、AMSIスキャンが改ざんされ、以降のコンテンツはディスクに書き込まれることなくメモリ上で実行されます。

続いてキャンペーンは、Bitdefender GravityZoneを装ったインフラドメインgpuh.gravityzone[.]armyから、Emmenhtalローダーを取得します。

Emmenhtalは、正規の画像CDNを通じてホストされた画像内に隠された暗号化ペイロードを抽出し、最終的なPEファイルをリフレクティブにメモリへロードします。

この末端のペイロードが、ACR StealerまたはAcridRainとしても知られるWindows向け認証情報窃取マルウェア「Amatera」です。ブラウザの認証情報やその他の機密なシステム情報を標的とします。

他の最近の調査でも同様に、ClickFixのチェーンとブロックチェーンで解決されるスクリプトがAmateraの配布と関連付けられています。

Amateraのコマンド&コントロール通信は、TLSに加えて暗号化されたDNS over HTTPS名前解決を利用しているとされ、ネットワーク防御側からの可視性を低下させています。

このマルウェアはgw.proxyvector[.]ccとも通信し、ルート証明書をインストールする可能性があります。これにより、感染したシステムは認証情報窃取やその後の侵入の起点となり得ます。

組織は、site-helper-<hex>プラグイン、nochain-sw.js、当該Baseコントラクトアドレス、timelevel12[.]com、gpuh.gravityzone[.]army、i.ibb[.]co/3ytBLkY6/init-block.jpg、ultraspeed[.]pro/collect、gw.proxyvector[.]ccへの露出を調査する必要があります。

関連するService Workerおよびコントラクトについても、実際に侵害されたサイトのインフラ上で独自に確認されています。

WordPress管理者にとって、修復作業には不正プラグインの削除、改変されたJavaScriptの確認、認証情報のローテーション、すべての管理者アカウントの監査が含まれる必要があります。

重要なのは、サイト側のクリーンアップだけでは、すでに悪意あるService Workerを登録してしまった訪問者を守れない可能性がある点です。ユーザーは、影響を受けたドメインについてサイトデータを消去し、Service Workerの登録を解除する必要があります。

防御側は、ユーザーに対してRun、Terminal、PowerShell、コマンドプロンプトへのコマンド貼り付けを求めるCAPTCHA、ブラウザ警告、検証ページはすべて悪意あるものとして扱うべきです。

運用上可能であればmshta.exeをブロックすること、PowerShellを制限すること、スクリプトブロックのロギングを有効にすること、スケジュールタスクの作成を監視すること、想定外のブロックチェーンRPC通信を調査することで、Amateraがメモリに到達する前にこの攻撃チェーンを断ち切ることができます。

侵害指標（IOC）

注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理されたスレットインテリジェンス基盤の中でのみ行ってください。

★ どのセキュリティツールを削減すべきか？ 1ページで採点 – 「継承されたセキュリティスタック」ガイドをダウンロード

Databreach prevention