最近発見された2つのキャンペーンは、ClickFix型の攻撃を利用して認証情報や暗号資産を窃取するとともに、企業ネットワークへより深く侵入し、侵害したシステムに長期的な持続性を確保しています。両キャンペーンは別々のものですが、脅威アクターがこのソーシャルエンジニアリング手法を進化させ、広く使われているサービスを悪用してより複雑な悪意ある活動を行うようになっている実態を示しています。
Cisco Talosの研究者がこの2つのキャンペーンを発見しました。配布方法はそれぞれ異なりますが、いずれも被害者が一見ごく普通の操作を行うことで自ら侵害を招く点は共通しています。これは、同ネットワーキング企業の脅威研究ラボが本日公開した2件の別々のレポート（）で明らかになりました。両者の共通点は、ClickFixやClearFakeとして知られるソーシャルエンジニアリング攻撃を用いている点だけでなく、正規のサービスや資産を悪用することで、悪意ある活動を通常のユーザーやアプリケーションの挙動に見せかけている点にもあると、研究者らは指摘しています。
Cisco TalosのシニアスレットリサーチャーであるVanja Svajcer氏はDark Readingに対し、次のように語っています。「どちらの攻撃も、被害者自身を感染チェーンの能動的な一部に変え、ユーザーや防御側が通常は正規なものとみなすサービスや技術を悪用しています。また、ブラウザセッションや信頼された クラウドサービス、公開ブロックチェーンインフラ、署名済みまたは正規のソフトウェアコンポーネントといった、従来のネットワーク検知があまり効果を発揮しない領域へ攻撃者が移行していることも示しています」
新たな攻撃に見るClickFixの多様化
暗号資産の窃取を狙った一方の攻撃では、脅威アクターがClickFix型の手法を用いて、Chrome上の取引インターフェースページを改ざんできる悪意あるコードをユーザーに貼り付けさせるよう仕向け、あるいはブラウザ拡張機能経由でそれを追加させます。典型的なClickFix攻撃とは異なり、攻撃者は公開されているGoogleスプレッドシートから悪意あるブラウザコードを取得・入力するよう被害者候補を誘導し、正規のGoogleサービスを自らのインフラの一部として利用しています。
もう一方の攻撃はロシアの脅威アクターによるウクライナ政府機関への攻撃で、ClearFakeと呼ばれる手法を用いて、偽のGoogle CAPTCHAを被害者に表示し、悪意あるコマンドを実行するよう指示します。このコマンドは複数のマルウェアを実行し、暗号資産や認証情報を窃取するほか、リバースプロキシを展開し、許可されていないリモートアクセスツールをインストールします。
研究者らによれば、これら2つの攻撃は、関連するソーシャルエンジニアリング手法がどのように進化しているか、そして一度の欺瞞的なプロンプトがいかに金銭窃取や認証情報窃取、さらに深刻な侵害への扉を開き得るかを示しているといいます。
正規のGoogleサービスの悪用
最初のキャンペーンは早くも2025年10月にはブラウザへの直接攻撃として始まり、2026年3月までにGoogleサービスも侵害するかたちへと大きく進化したと、研究者らは記しています。
Cisco TalosのセキュリティリサーチエンジニアであるSean Gallagher氏は、このキャンペーンに関するレポートの中で次のように説明しています。「このキャンペーンは、標的をだましてPowerShellやその他のコマンドをコピー&ペーストさせ、実行させることでマルウェアを起動させる、いわゆる『ClickFix』型のソーシャルエンジニアリング攻撃の手口に、ひねりを加えたものです。しかし被害者の端末のOSを狙う代わりに、このキャンペーンの背後にいる攻撃者は、ユーザー自身のブラウザセッションに悪意あるコードを注入させることを狙っています」
脅威アクターは、標的にコードスニペットをChromeブラウザのアドレスバーに直接貼り付けさせる誘い文句を使っていましたが、最新版では、正規のChromeプラグインであるTamperMonkeyを悪用する方向に焦点を移していたと、Gallagher氏は記しています。「ユーザーが貼り付けたローダースクリプトを注入し、標的とした当該サイトに対してセッションをまたいだ持続性を確保するためです」
Gallagher氏によれば、攻撃の後のバージョンでは、Google Visualization APIを利用してGoogleスプレッドシート文書に格納された悪意あるスクリプトを配信するようにもなったといいます。その後、テキスト共有サイトへの投稿が頻繁に削除されるようになったことを受け、攻撃者は7月に、キャンペーンを構成するすべての要素をGoogleドキュメントとGoogleスプレッドシート上でホストするよう移行したと、Gallagher氏は述べています。
影響を受けたウクライナ政府機関
レポートによると、ウクライナ政府機関を狙ったもう一つの攻撃の発見は、2026年4月に、同機関でWebDAVから実行されていた「verification.google」という名のDLLに関する調査から始まりました。さらに調査を進めた結果、研究者らは、偽のGoogle CAPTCHAを表示する侵害済みWebサイトを起点とする攻撃を突き止めました。このCAPTCHAはClickFixの手口を使い、被害者をだましてWindowsの「ファイル名を指定して実行」ダイアログにコマンドを貼り付けさせるものでした。
このコマンドは、偽装されたダイナミックリンクライブラリ（DLL）ファイルをWebDAV経由で取得し、Amateraインフォスティーラーを起動します。このマルウェアは、暗号資産関連データ、認証情報、ブラウザ情報、機密ファイルを収集できます。レポートによれば、マルウェアの一部の系統は暗号資産スティーラーとリバースプロキシを展開する一方、別の系統はNetSupport Managerをインストールし、攻撃者に感染システムへのリモート制御権を与えていたといいます。
調査のきっかけとなったのは1つの組織のみでしたが、最終的に研究者らは「これらの攻撃は特定の組織を標的にしたものではなく、Amateraスティーラーを主要なペイロードとして用いた、暗号資産・認証情報窃取活動の一環である」ことに気づいたと、Svajcer氏は投稿の中で記しています。
ClickFixの亜種への防御策
Proofpointの研究者が最初にClickFix攻撃を発見したのは約2年前のことで、それ以来この手法はサイバー犯罪コミュニティの間で人気の手口となっています。この攻撃の最終的な狙いは、ユーザーをだまして悪意あるプロンプトを自ら実行させることにあり、それこそが攻撃者にとって非常に有効な手段となっている理由です。
Suzu Labsのプリンシパル兼最高技術責任者(CTO)であるDenis Calderone氏は次のように指摘しています。「これらのキャンペーンはいずれも、防御側がすでに信頼しているサービス、たとえばGoogleスプレッドシート、Cloudflare Workers、公開ブロックチェーンのエンドポイントなどを、コマンド&コントロールに悪用しています。悪意ある通信が通常の業務活動のように見えるため、ドメインベースのブロッキングでは検知できません」
実際、今回の事例やその他の最近発見されたClickFix攻撃が示すように、この悪意あるプロンプトを初期侵入経路として利用する新たな攻撃は、ネットワークやその他のサービスの奥深くにまで浸透し始めています。脅威アクターはこうしたプロンプトを使って認証情報を窃取するインフォスティーラーを展開するだけでなく、ランサムウェア攻撃の初期アクセスブローカーとしてネットワークへの持続的アクセスを確保することと、暗号資産窃取による金銭的利益の獲得という、両方の目的をますます重視するようになっています。
こうした脅威への対策として、Cisco Talosはそれぞれのレポートに侵害の痕跡(IoC)を掲載しています。研究者らはまた、一般的な指針として、組織がユーザーのブラウザをより厳密に管理する対策を講じることを推奨しています。具体的には、開発者レベルの機能の利用を制限し、役割に応じてブラウザ拡張機能の導入を制御することです。Svajcer氏は「防御側は、ブラウザを単にウェブサイトへアクセスするためのツールとしてではなく、管理された実行環境として扱うべきです」と述べています。
さらにもう一つの防御策として、同氏はソーシャルエンジニアリング手法や、コピー&ペーストによるコード操作でブラウザの挙動を変更することの危険性について、従業員や顧客に注意喚起することを挙げています。具体的には、Svajcer氏は次のように述べています。「正規のCAPTCHA、検証フロー、脆弱性報告、サポートプロセスにおいて、アドレスバーや拡張機能、『ファイル名を指定して実行』ダイアログ、PowerShell、ターミナルにコードを貼り付けるよう求められることは決してないと、ユーザーに教育すべきです」
