インドのSTPI、偽Cloudflareチェックを通じてTerminalFix型攻撃を配信

インドのソフトウェア技術パーク(STPI)に関連するあるウェブサイトが、偽装されたCloudflare認証ページを配信していることが判明しました。このページは訪問者のクリップボードに悪意のある文字列を密かにコピーし、Windowsターミナル経由でそれを実行するよう促すもので、近年台頭しているTerminalFix型攻撃と一致する手口です。

STPIはインド政府の機関で、同国のITサービスおよびスタートアップ・エコシステムを支援しており、技術企業や開発者、公共部門の関係者が利用するプラットフォームを運営しています。

この活動はananta.stpi[.]inのサブドメイン上で確認されたもので、発見したのはサイバーセキュリティ研究者でレッドチーマーのVibhum Dubey氏です。同氏はこの問題をSTPIおよびインドのコンピュータ緊急対応チームであるCERT-Inに報告しました。

CSOによる確認では、この挙動に関連する不審な外部JavaScriptが、一時的に攻撃が消えた後もサイトのソースコード内に埋め込まれたままになっており、問題が完全には解決していない可能性を示しています。

実行を誘発する偽の認証フロー

このページは標準的なCloudflareの「あなたが人間であることを確認」というプロンプトを模倣していますが、さらにWindowsターミナルを開いてコマンドを貼り付け、Enterキーを押すよう指示する追加のステップが含まれています。またDubey氏によると、ユーザーの明示的な操作なしに文字列がクリップボードに事前ロードされるといいます。

コピーされる内容はURLであり、ターミナルに貼り付けられるとシステムシェルによって解釈され、攻撃者が管理する外部インフラへのリクエストが開始される仕組みです。Dubey氏はこのコマンドを実際には実行していません。

このURLの接続先は複数のセキュリティベンダーによって悪意あるものとフラグ付けされており、分析時点でVirusTotal上では17のエンジンが悪意ありと検出していました。

この手法は、実行の場をブラウザからエンドポイントへと移すもので、直接的なペイロード配信ではなくユーザーの操作に依存しています。

「注目すべきは、これが怪しいメールや偽サイトではなく、政府のポータルサイト上で起きていたという点です」とDubey氏は述べています。「ananta.stpi[.]inにアクセスすればSTPIのサービスを利用できると期待するわけですが、そこには一見普通のCloudflare認証チェックのように見えるものが表示されます。ほとんどのユーザーは深く考えずに手順に従ってしまうでしょう。だからこそ効果的なのです。怪しい場所にリダイレクトされるわけではなく、すでに信頼しているサイト上にいる状態なのですから」

TerminalFixに酷似

今回確認された手法は、MicrosoftがTerminalFixと呼ぶ攻撃パターン、すなわちClickFixの亜種と一致しています。この種の攻撃では、偽装された認証ページを使ってユーザーにコマンドをコピーしローカルで実行させ、侵害のポイントを従来のWebセキュリティ対策の範囲外に移します。

「この手法は同じ手口をたどっています。偽の認証ページ、クリップボードへの注入、そしてターミナル経由での実行指示です」とDubey氏は語ります。「Microsoftはそのレポートの中で、TerminalFixに関して類似のパターンを指摘しています」

特定のキャンペーンへの直接的な帰属はまだ確立されていないものの、クリップボード操作やターミナルベースの実行プロンプト、段階的な配信といった挙動の重なりは、既に報告されている攻撃のワークフローと一致するとDubey氏は述べています。

段階的な配信

サイトのソースコードを調べたところ、cdn[.]quickdelivr[.]comから読み込まれる外部スクリプトが見つかりました。このドメインは登録から1週間も経っておらず、正規のコンテンツ配信ネットワークであるjsDelivrにどことなく似せた名称になっています。domaintools.comが提供するデータによると、このドメイン名の登録者情報にはロシアの住所が記載されており、香港に所在するIPアドレス上の同一サーバーでホストされている、最近登録された少なくとも他の3つのドメインについても同様でした。

Dubey氏は偽のオーバーレイとクリップボード操作の両方をこのスクリプトによるものとしており、この発見は報道時点でCSOが独自に検証済みです。

「攻撃者はテイクダウン(摘発)を困難にするような形で、コマンド&コントロールの設定情報を外部インフラに保存しているようです」と同氏は述べています。「スクリプト自体は大幅に難読化されており、ブラウザ内で仮想マシンを介して実行されるため、解析が困難になっています。また訪問者ごとに固有の識別子が割り当てられており、何らかのセッション追跡が行われていることがうかがえます」

このスクリプトはドキュメントオブジェクトモデルやネットワークリクエストインターフェースを含むブラウザのコンポーネントと連携しており、動的なコンテンツ注入や外部インフラとの通信を可能にしていると同氏は付け加えました。

外部設定と持続性への懸念

研究者によると、一時的に姿を消していた偽の認証ページは、その後再び出現しているといいます。外部スクリプトが引き続き存在していることは、この挙動を可能にしている基盤の仕組みが依然として稼働している可能性を示しています。

Dubey氏はまた、サイトのWordPress設定に潜在的な弱点があることも指摘しました。ログインエンドポイントが、エラーメッセージの違いを通じて有効な管理者ユーザー名を漏らしてしまうというものです。同氏は、これが侵入口として利用されたかどうかを確認するにはサーバー側の解析が必要になると述べています。

「ここで懸念されるのは、これが政府関連のサイト上で発生しているという点です」と同氏は述べています。「利用者にはIT企業やスタートアップ、政府職員も含まれます。もしユーザーが業務用のシステム上でこのコマンドを実行してしまえば、認証情報や社内環境へのアクセス権が流出する恐れがあります」

CERT-Inは研究者からの報告を受領したことを認め、「関係当局と適切な対応を進めている最中」であると述べました。

本稿の公開時点で、STPIからCSOの問い合わせへの回答はありませんでした。