Microsoftが公開した詳細情報によると、同社はTerminalFixと呼ぶWindowsマルウェアキャンペーンを確認しています。
感染に使われるソーシャルエンジニアリングの手口は、ClickFixキャンペーンで確認されてきた手口と非常によく似ています。サイト訪問者には偽のCloudflare CAPTCHAが表示され、クリックすると悪意あるコマンドが本人の知らないうちにクリップボードにコピーされます。
その後、訪問者は「自分が人間であることを証明する」ための手順を提示されますが、実際にはその悪意あるコマンドを実行するよう誘導されているだけです。
足がかりを得た後、このマルウェアは攻撃者が管理するサイトから一見普通のPNG画像をダウンロードしますが、この画像には隠されたペイロードデータが埋め込まれています。PowerShellスクリプトが画像のピクセルデータを読み取り、先頭8バイトで埋め込まれたファイルの長さを特定した上で、残りのデータから実行ファイルと2つのDLLフラグメントを復元し、被害者のディスク上でこれらを結合します。
ステガノグラフィの使用自体は注目に値しますが、この手法自体はすでに他のClickFixキャンペーンでも使われており、TerminalFixだけの特徴というわけではありません。
TerminalFixを他と分ける本当の特徴は、そのペイロードにあります。ある手口にせよ、別の手口にせよ、ClickFixの被害者は通常、何らかの情報窃取型マルウェアに感染することになります。
これに対しTerminalFixは、単一の難読化されたPowerShellダウンローダーに頼るのではなく、DLLサイドローディング、ステガノグラフィによる配送、フォルダの隠蔽、リアルなブラウザUser-Agentのローテーション、暗号化されたWebSocket通信といった、いくつもの成熟した回避技術を組み合わせています。最終的な目的も他のキャンペーンとは異なります。
このキャンペーンは、カスタムの多重化リバースTCPトンネルをインストールする前に、ドメインを意識した偵察を行うペイロードチェーンを展開します。
この隠されたコネクションによって、攻撃者は被害者のネットワークにアクセスできるようになります。感染したコンピューターはまず、ポート443を使ってWebトラフィックに見せかけた暗号化通信で攻撃者に発信します。これにより、「リバース」接続が企業ファイアウォールをより容易に通過できるようになります。
こうして、侵害されたシステムはネットワーク内部から秘密のリモートアクセスの入り口を作り出します。「多重化」とは、攻撃者がファイルサーバー、データベース、あるいは別のワークステーションなど、複数の独立した接続を同時にこの一本の暗号化トンネルを通じて送れることを意味します。これにより攻撃者は、被害者のコンピューターを踏み台にしてネットワークの他の部分へ侵入できるのです。
安全を保つには
まず覚えておいていただきたいのは、本物のCAPTCHAはボックスをクリックさせたり画像を選択させたりすることはあっても、実行(Run)やターミナル、コマンドプロンプト、PowerShellを開いてコマンドを貼り付けるよう求めることは絶対にないという点です。
- 落ち着いて対応する。 ウェブページやプロンプトの指示、特にデバイス上でのコマンド実行やコードのコピー&ペーストを求められた場合、慌てて従わないでください。攻撃者は緊急性を演出することで冷静な判断を妨げようとするため、即座の対応を迫るページには注意が必要です。巧妙なClickFixページでは、カウントダウンや利用者数の表示など、急かすための仕掛けが追加されている場合もあります。
- 信頼できない出所のコマンドやスクリプトを実行しない。 出所を信頼できず、コマンドの内容を正確に理解できていない限り、ウェブサイトやメール、メッセージからコピーしたコードやコマンドを実行しないでください。
- 指示を独自に検証する。 ウェブサイトから何らかのコマンド実行や技術的操作を求められた場合は、実行前に公式ドキュメントで確認するか、サポートに問い合わせてください。
- コマンドのコピー&ペーストの利用を控える。 コピー&ペーストではなく手入力でコマンドを打つようにすることで、コピーしたテキストに隠された悪意あるペイロードを気づかずに実行してしまうリスクを減らせます。
- デバイスを保護する。 ウェブ保護機能を備えた、最新の状態を保ったリアルタイムアンチマルウェアソリューションを使用してください。
- 進化する攻撃手法を見分けられるようにする。 攻撃者が手口を絶えず変化させていることを知っておけば、不審な指示に気づきやすくなります。今後も当ブログをお読みください。
プロのヒント: 無料のMalwarebytes Browser Guard拡張機能は、ウェブサイトがクリップボードに何かをコピーしようとすると警告してくれることをご存じでしたか?
一部のブラウザでも、クリップボードの特定の使用を制限したり警告したりする機能が備わっています。macOS Tahoe 26.4以降では、ターミナルはブラウザやメッセージングアプリからコピーされたテキストを貼り付ける際にユーザーへ警告を出せるようになりました。この保護機能は、ブラウザ内ではなくアプリおよびOSレベルで動作します。
被害が生じる前に脅威を食い止めましょう。
Malwarebytes Browser Guardは、フィッシングページや悪意あるサイトを自動的にブロックします。無料で、ワンクリックでインストールできます。ブラウザに追加する →
