ClickFixがブラウザに侵入、仮想通貨窃取の新手口

ClickFixキャンペーンの手口が変化しています。パソコン上でコマンドを実行させる従来の手法から、被害者自身のブラウザに悪意あるJavaScriptを注入させる手口へとシフトしており、不正行為をいとわない層を狙った巧妙な仕掛けとなっています。

Cisco Talosは9月8日に公開した調査報告の中で、この数カ月にわたるキャンペーンがGoogle Visualization APIを悪用し、公開されたGoogleスプレッドシート文書から難読化されたコードを取得して、2つの仮想通貨取引サイトのセッションに注入していたと明らかにしました。

この攻撃活動はこれまでに2度の妨害を乗り越えて存続しています。Talosは4月にGoogleと標的サイトに警告を行いましたが、キャンペーンは1週間後に新しいスプレッドシートで復活しました。8月11日時点で、差し替えられたGoogle文書は再度通報されたものの、依然として稼働を続けていました。

OSからブラウザへ移るClickFix

このキャンペーンは2025年10月、ターゲットに対しChromeのアドレスバーにJavaScriptを貼り付けるよう指示する誘導から始まりました。攻撃者は2026年3月にVisualization APIを導入し、4月中旬以降はブラウザ拡張機能Tampermonkeyをインストールしてからスクリプトを追加するよう被害者に指示するようになりました。

誘導文は、仮想通貨スワップサービスに存在しない架空のAPI脆弱性を報告する「流出した脆弱性レポート」を装い、最大38%高い配当を得られると謳っていました。Talosによれば、この手口は自分が理解していない脆弱性を悪用しようとする読者の欲を突くものだといいます。

Talosはこの誘導素材をTelegram、サイバー犯罪フォーラムのDarkForums、テキスト共有サイト上で確認しており、少なくとも月2回のペースでメッセージが波状的に送信されていました。

関連記事:ClickFix、サイバー犯罪者お気に入りのマルウェア配布手法に

Visualization APIを使うと、Web上に公開されたGoogleスプレッドシート文書に対して誰でも無料かつ認証不要で読み取り専用アクセスができます。そのためリクエストは被害者自身のブラウザから発信される形になり、通常のWebトラフィックと見分けがつきませんでした。攻撃者はペイロードが記載されたセルの文字色を白地に白文字にすることで隠蔽していました。

Talosはこのスプレッドシートから21種類の第2段階ペイロードを収集しました。これらはXORキーと変数名をその都度ランダムに変えてローテーションされていましたが、機能自体に変化はありませんでした。

注入スクリプトがブラウザを仮想通貨窃取ツールに変える

このスクリプトはページの変化を監視し、表示された入金アドレスを差し替え、ボーナスが適用されたかのように見せかけて取引金額を改ざんしていました。さらにブラウザのfetch APIを上書きし、データがページに表示される前に、入金レスポンス内の情報を攻撃者のウォレットアドレスにすり替えていました。

クリップボード機能も乗っ取られており、被害者がコピーしたアドレスはすべて差し替えられていました。Tampermonkey版では、標的サイトを訪問するたびにコードが再読み込みされる仕組みになっていました。

Talosは、このキャンペーン全体で49個のビットコインアドレスを特定しました。4月から6月下旬にかけて復号できたサンプルの大半は、30個からなる1つのアドレス群に紐づいており、そのうち24個が被害者から資金を受け取っていました。合計は0.159 BTC、8月上旬時点の相場でおよそ10,000ドルに相当します。

研究者らは、実際の被害額はこれより大きい可能性が高いとしたうえで、得られた収益はさらに30個のウォレットを経由し、その後3000個を超えるアドレスへと分散されており、これはミキシング(資金洗浄)操作とみられる動きだと指摘しています。

Talosは、このキャンペーン自体が大半の組織にとって直接的な脅威になるわけではないものの、使われている手法自体は脅威となり得ると述べ、ブラウザ拡張機能を役割に応じて制限することや、Googleドキュメントへのリクエストがないかブラウザセッションを監視することを推奨しています。