EfficientIP Research Labsは、Zillowのアパートレビューを装った偽ページを使い、訪問者のWindowsコンピューターにNetSupport RATをインストールさせるClickFixキャンペーンを追跡しました。
各ページには、一見するとごく普通の認証チェックが表示されます。しかし裏では、ページがPowerShellコマンドをひそかにクリップボードへコピーし、訪問者に貼り付けと実行の手順を案内します。これを実行すると、ウィンドウを表示しないままログインのたびに自動で再起動するリモート操作ソフトがインストールされます。
最も危険にさらされるのは賃貸物件を探す人々で、仕事用のノートPCで物件情報を確認する人も同様です。NetSupportが動作すると、攻撃者はログイン中のユーザーがアクセスできるあらゆるファイルにアクセスできるようになります。EfficientIPは2026年8月に、最初のドメインを検知しました。
3つのキーを押すだけで感染
ClickFixは、偽のチェックを通過させるためにユーザー自身にコマンドを実行させるソーシャルエンジニアリングの手口です。これらのページでは、「Continue」をクリックするとクリップボードにコマンドが読み込まれ、「Win+R、Ctrl+V、Enter」の順に操作するよう指示されます。このコマンドは、10進数で表記されたIPアドレス「1495423691」（89.34.90.203に変換されます）からスクリプトを取得します。
スクリプトはPowerShellのウィンドウを隠したうえで、ダウンロードしたPythonランタイムを使い、同じアドレスからZIPアーカイブを取得します。続いてNetSupportをAppDataに展開し、Windowsのスタートアップフォルダーにショートカットを置きます。NetSupport Managerは正規のリモート管理ソフトウェアです。攻撃者はこれを本来の目的どおりに使い、アパートのレビューを読んでいるつもりの人々のコンピューターを遠隔操作していました。
リンクが拡散した経路は
研究者らはインフラ面から調査を進めており、被害者がどのようにこれらのページへたどり着いたのかは確認できていません。同社のCISOであるKarim Hossen氏は、次のような見立てを示しました。
「最も可能性が高いのは、標的に直接リンクを送る手口で、おそらく賃貸詐欺の文脈でしょう（例：偽の家主や仲介業者が、メールやSMS、メッセージアプリで『内見の前にレビューを確認・認証してください』というリンクを送る）」と、同氏はHelp Net Securityに語りました。
「ドメインは新規登録で短命であり、ランダムな数字の接尾辞が付いていました（例：apartments-review8509831[.]sbs）。ワイルドカードのサブドメイン（*.verify.apartments-review[.]sbs）も使われています。これは、標的ごと、あるいはキャンペーンごとに固有のリンクを用意する場合の典型的な特徴です」
同氏は、悪意のある広告やリダイレクトチェーンの可能性は低いとみています。広告やリダイレクトの層が存在した証拠を、研究者らが確認していないためです。検索結果汚染（SEOポイズニング）の可能性は、最も低いと評価しています。「ランダムな数字を含み、数日しか存続しない使い捨てドメインが検索結果に表示されることはまずありません。手入力する人もいないでしょう」
同氏の見立てが正しければ、危険の兆候はページを目にする前から現れていることになります。「理想的なアパートが見つかったので、その前にまずこのリンクを1つクリックしてほしい」と持ちかけるメッセージこそが、その兆候です。
残りのインフラを掘り起こす
EfficientIPはまず、パッシブDNSデータの中にこうしたドメインを数件見つけました。パッシブDNSは、どの名前がどのアドレスに、いつ解決されたかを記録するものです。名前はすべて、.sbsトップレベルドメイン上の「apartments-review」に数字を付けた同じパターンでした。ドメインの存続期間が短く、ホスティング元を隠すCloudflareの背後にあったため、稼働中のDNSレコードからはほとんど手がかりが得られませんでした。
そこで研究者らは、発行済みTLS証明書の公開記録であるCertificate Transparencyログを検索し、DNSデータには含まれていなかったドメインを発見しました。これらのドメインは、ネームサーバーが一貫して共通しているわけではなく、解決先のCloudflareアドレスもさまざまでした。それでも、ページ自体が手がかりになりました。同じ偽Zillowのテンプレート、同じエンコード済みIPとダウンロードパス、同じNetSupportの展開手順が使われていたのです。
インストールされたNetSupportクライアントは、asgomd[.]comとasgrsv[.]comという2つのゲートウェイドメインを指していました。「これらのIPアドレスを起点に調べると、同様の短い命名パターンに従う7つのドメインが新たに見つかりました（例：bksju、decrmd、jpgomd、nogomd、decrsv、jpgrsv）」とHossen氏は述べています。「共通する『-md』『-rsv』という接尾辞から、これらはこの攻撃者のゲートウェイインフラとして、ひとまとまりで登録されたと考えられます」
研究者らは、この攻撃者を既知のグループとは結び付けていません。「NetSupport RATは、クラック版や使い回されたライセンスのもと、無関係な多数の攻撃者に広く悪用されています。そのため、文書化された攻撃クラスターと一致しない限り、ライセンス文字列だけでは帰属判断の根拠として弱いのです」とHossen氏は語りました。「私たちはこの活動を、特定の攻撃者に帰属させたキャンペーンとしてではなく、より広範なClickFix／NetSupportエコシステムの一部とみなしています」
翻訳元: https://www.helpnetsecurity.com/2026/11/13/fake-zillow-clickfix-netsupport-rat/
