新たに登場したClickFix型のキャンペーンは、ユーザーを騙してPowerShellを開かせ、悪意あるコマンドを実行させることで、企業ネットワーク内に足場を築くことを狙った複雑な攻撃チェーンを開始します。
近年、脅威アクターはソーシャルエンジニアリングキャンペーンにおいてClickFixへの依存を強めています。一般的な手口として、ユーザーは侵害された、あるいは攻撃者が管理するWebサイトを訪問すると、Windowsの「ファイル名を指定して実行」やMacOSのTerminalにコマンドを貼り付けるよう指示されます。このコマンドは通常、攻撃者が管理するサーバーに接続し、多くの場合インフォスティーラーやその他の種類のマルウェアをダウンロード・インストールします。
ClickFixと呼ばれる理由は、被害者が通常、問題を「修正」したり、確認手続きを完了したり、ブラウザの不具合をトラブルシューティングしたりするために、攻撃者から提供されたコマンドを実行するよう指示される点にあります。ある亜種では、攻撃者がブラウザ上の偽のZoom通話に被害者候補を誘導し、音声や映像に技術的な問題が発生したように見せかけて、その修正のためにコマンドを貼り付けるよう指示します。
Microsoftは最近詳細を公表した「TerminalFix」と同社が名付けたClickFix亜種のキャンペーンでは、攻撃者が「巧妙な」攻撃チェーンの冒頭で偽のCloudflare CAPTCHAオーバーレイを表示します。CAPTCHAを完了させるために、ユーザーはWindows TerminalまたはPowerShellを開き、（クリップボードに密かにコピーされた）悪意あるコマンドをその中に貼り付けるよう指示されます。TerminalとPowerShellは技術的には同一のものではありませんが、最近のWindowsではTerminalを開くとデフォルトでPowerShellが起動する仕様になっています。
攻撃者はWindowsの「ファイル名を指定して実行」を使って追加のペイロードを取得する短いダウンローダーを起動することも可能ですが、Microsoftは、ユーザーをPowerShellに誘導することで、より長く複雑なスクリプトが正常に実行される可能性が高まると指摘しています。この複雑さにより、「単純な」ClickFix攻撃よりも大企業への攻撃が容易になります。Microsoftの研究者によると、このキャンペーンは複数の業界にまたがる組織を標的としており、これは理にかなっているとのことです。
単一のコマンドから始まる複雑な攻撃チェーン
この特定のキャンペーンについて見ると、最初のPowerShellコマンドは、サイドローディング用の悪意あるDLLを含むZIPアーカイブをダウンロードして起動し、そこから攻撃者による複雑な攻撃チェーンの残りが開始されます。Microsoftのブログ投稿によると、このキャンペーンはPNG画像内に隠されたペイロードをダウンロードし、レジストリのRunキーとスケジュールタスクの両方を通じて二重の永続化を確立し、ドメインの偵察を行い、さらに「暗号化されたWebSocketチャネルを通じて任意のTCPトラフィックを攻撃者インフラへトンネリングするPythonベースのリバーストンネルC2インプラント」を展開します。
Microsoftの研究者は、このキャンペーンが「特に危険」であると指摘しています。リバーストンネルによって、脅威アクターが被害組織の内部ネットワークに直接アクセスできるようになるためです。
「この後に続くことが多いハンズオンキーボード（人手による操作）の段階では、攻撃者はこのアクセス権を利用して権限を昇格させ、セキュリティ制御を無効化し、機密データを窃取し、組織全体にランサムウェアを展開します」と研究者らは記しています。「ステルス技術（DLLサイドローディング、ステガノグラフィ、隠しフォルダ）と持続的なネットワークアクセスの組み合わせにより、このTerminalFixキャンペーンは企業環境にとって深刻な脅威となっています」
もっとも、TerminalFixという命名には懐疑的な見方も出ています。MicrosoftはClickFixの亜種としてTerminalFixを説明していますが、ProofpointのシニアスレットリサーチャーであるTommy Madjar氏は、Terminalウィンドウの使用は2024年に文書化された初期のClickFix活動にまで遡ると主張しています。
「ターミナルはより長く複数行にわたるスクリプトを受け付けることができます」と同氏はDark Reading誌に語ります。「しかし、同じ多段階の侵入は、次の段階を取得する短いコマンドを『ファイル名を指定して実行』に貼り付けることから始めても、同様に容易に実現できます。基本的なHTMLの誘導手法や実行フローと合わせて考えると、Microsoftの事例はClearFakeやErrTrafficといった既知のクラスターと際立った違いがあるわけではありません」
TerminalFixおよびその他のClickFix攻撃への対策
Microsoftのブログ投稿では、ユーザーに対していくつかの推奨事項を挙げています。まず、組織はグループポリシー、Windows向けApplication Control、AppLockerといった手法を用いて、一般ユーザーによるPowerShellおよび「ファイル名を指定して実行」ダイアログの実行を制限すべきです。また、日常業務で必要のない場合はWindowsの「ファイル名を指定して実行」ダイアログを制限し、DLLサイドローディングの兆候を監視することも検討に値します。
また、ClickFixはソーシャルエンジニアリングの手口であるため、攻撃者がこうした攻撃をどのように展開するかについて従業員に教育し、ユーザーが見分けられるようにしておくことも賢明でしょう。
Madjar氏は特にこの最後の点を強調し、「ファイル名を指定して実行」やTerminalへのアクセスを広範に制限することは「実用的とは言えないことが多い」と主張しています。
「多くの正規のソフトウェアインストールは、ユーザーがターミナルで直接コマンドを実行することに依存しています。Claude Codeはその一例で、推奨されるインストール方法では、ユーザーに事前の確認を求めることなくコードをダウンロード・実行します」と同氏は述べます。「したがって防御策は、信頼できないWebサイトからコピーしたコマンドを実行しないようユーザーを教育すること、ユーザーが到達する前に悪意あるサイトをブロックすること、そして予防が機能しなかった場合に不審な実行を検知することに重点を置くべきです」
