新たに確認されたClickFix攻撃は、Windowsに残る古いユーティリティを悪用して悪意あるコマンドを実行し、ユーザーのマシンを情報窃取型マルウェア（インフォスティーラー）とリモート管理ソフトウェアに感染させています。時代遅れの技術でも、攻撃者に悪用される余地があることを示す事例です。
本日公開された報告書によると、この攻撃を発見したのはHuntressの研究者です。ユーザーが「amazon business」というキーワードのスポンサー広告（Google検索結果）をクリックすると、Amazonのログインページを装った偽ページに誘導されます。このページには、偽のCAPTCHA認証という形でClickFix攻撃が埋め込まれていました。
Huntressの研究者Sarah Reddish氏とSpike Brandt氏が報告書で明らかにしたところによると、このページはまずメールアドレスか電話番号の入力を求めます。入力が完了すると、ClickFix攻撃で典型的に使われる偽のCAPTCHAが表示されます。
ユーザーがこのCAPTCHAを操作すると、攻撃はWindows標準のfingerユーティリティを呼び出します。fingerは1970年代初頭に登場した初期インターネットの遺物で、攻撃者は環境寄生型バイナリ（LOLBIN：Living off the Land Binary）として悪用しているといいます。fingerコマンドが引き金となって複雑な多層構造の攻撃チェーンが始まり、最終的に複数のペイロードが投下されます。その中には、海賊版のNetSupport Clientというリモート監視・管理（RMM）ツールと、Lumma Stealerの一種が含まれます。
報告書によると、攻撃者は悪意ある検索結果を「不審な」ドメインであるorders-amazon[.]com[.]advancedfences[.]comでホストしていました。このリンクは、Google Sitesのプライベートなクラウドストレージ上に置かれた偽のAmazonログインページへリダイレクトされる仕組みです。
Googleはすでに悪意ある広告を削除しましたが、攻撃者のインフラは今も稼働を続けています。研究者によると、攻撃者は「バーベキュー」をテーマにしたドメイン名を優先的に使っており、その数は増え続けています。
fingerが指し示す危険
この攻撃が従来のClickFix型攻撃と異なる点の一つが、fingerユーティリティの利用です。ClickFixは、この手法が登場した2024年以降、攻撃者に好まれる手口となっています。
HuntressのセキュリティオペレーションアナリストであるReddish氏はDark Readingに対し、「今回の違いは攻撃チェーンの深さにあります」と語ります。「ユーザーの操作から直接1つのペイロードに進むのではなく、偽のCAPTCHAがfinger.exeを使ってリモートの.planファイルを実行します。その後、IronPython、複数の難読化されたローダー、Lumma Stealerとされるサンプル、隠された状態のNetSupport Clientが順に導入されます」
同氏は、全体として今回の攻撃は「ClickFixが単純なユーザーだましから、複数のペイロードを届けるモジュール型の配布経路へと進化し、アナリストによる調査を難しくする設計になっていることを示しています」と述べています。
攻撃者は過去のClickFixキャンペーンでも、正規サービスを悪用してきました。今回fingerが攻撃者にとって有用なのは、多くのシステムにいまだ存在する一方で、「目にすることを想定しているユーザーや防御担当者はほとんどいない」ためだと、Reddish氏は指摘します。「『古い』ことは『無関係』という意味ではありません。今回は、攻撃者が管理するテキストをリモートの.planファイルから取得し、静かに攻撃を次の段階へ引き渡しました」と同氏は話します。
Huntressでプリンシパル脅威インテリジェンス・インシデントコマンダーを務めるBrandt氏も、このユーティリティを使うこと自体に本来備わっている回避効果が、攻撃者に利点をもたらすと付け加えます。「静的なTCP/IPポート番号を使い、プロキシには対応していません。しかもこのポートの通信は非常にまれなため、ファイアウォールやネットワークフィルター、DLPツールが無視する可能性もあります」と同氏は説明します。
Reddish氏は「そのため、同じ侵入口から、インフォスティーラーやRAT、ランサムウェア、リモート管理ツールなど、さまざまな種類のマルウェアが導入されかねません」と指摘しています。
想定外の攻撃経路への防御
Reddish氏によると、今回のfingerを使った攻撃は、Huntressのアナリストが確認しているClickFixの傾向を示しています。攻撃者は正規のサービスやユーティリティを、「信頼されたブランド、スポンサー広告、組み込みユーティリティ、モジュール型ペイロード、プラットフォーム固有のおとり」と組み合わせ、正規のオンライン活動に紛れ込もうとしているといいます。
さらに同氏は、今年これまでのHuntress Managed EDRの検知シグナルのうち、ClickFixが約2.2%を占め、そのうち99%近くが重大度の高い検知だったと述べています。研究者らは、防御担当者が環境寄生型（LotL：Living off the Land）攻撃とClickFixの手口の両面から、この種の攻撃への知識と対応力をいっそう高める必要があるとしています。
前者への対策として、セキュリティチームは攻撃者に悪用されやすいもの（頻繁か、まれかを問わず）を含む正規ツールを棚卸しすべきだとBrandt氏は助言します。「業務上の目的がないものは無効にし、めったに使われないユーティリティがユーザー操作を起点とする実行チェーンに突然現れたらアラートを出してください」
Reddish氏は、このほかにも次の対策を挙げています。送信方向のTCP/79を監視またはブロックする。想定外のfinger.exeの動作にアラートを出す。可能であれば「ファイル名を指定して実行」ダイアログを制限する。C:\ProgramData配下の不審なステージング、隠れたNetSupportの活動、TCP/725などの標準的でないポートにも注意する。
一般的な原則として、セキュリティチームはClickFixの脅威を軽減できると、同氏は付け加えます。そのためには、「正規のCAPTCHAが、『ファイル名を指定して実行』やPowerShell、コマンドプロンプトにコマンドを貼り付けるよう求めることはない」とユーザーに教育することが有効です。この攻撃は、まさにこの経路を使って被害者を侵害します。
