マイクロソフト脅威インテリジェンス：ClickFix攻撃者はブロックチェーンのスマートコントラクトを利用して削除対策を回避

Microsoft脅威インテリジェンスは、進化し続けるClickFix攻撃活動に関する調査結果を発表しました。この攻撃は現在、ブロックチェーンインフラと高度なブラウザーフィンガープリント技術を活用し、大規模にWindowsとmacOSシステムへ侵入しています。

これらのWindowsシステムを対象とした攻撃ではEtherHiding技術が用いられており、悪意のあるコマンドがBNB Smart Chain上のスマートコントラクトへ直接保存されています。攻撃者はBase64でエンコードされたJavaScriptコードを侵害されたウェブサイトへ注入し、これらのサイトはRPCゲートウェイを通じてこれらのコントラクトに問い合わせ、次のステージの指示を取得します。

ペイロードがオンチェーンに存在することから、従来の削除やブラックホール化といった方法では除去できず、その内容を変更できるのはペイロードをデプロイした暗号資産ウォレットの所有者のみです。

被害者は偽のCAPTCHAが表示され、これによってWindowsの「ファイル名を指定して実行」ダイアログを開き、攻撃者が提供するコマンドをペーストするよう誘導されます。実行チェーンでは、PowerShell、mshta、rundll32、msiexec、curlなどのネイティブツールが悪用され、通常、キャレット分割や環境変数の難読化などの手法で検出を回避します。Microsoftによると、この攻撃活動は世界中の数千台の企業および個人向けデバイスを毎日標的とし、Lumma Stealer、Xworm、AsyncRAT、MintsLoaderなどのマルウェアを拡散しています。

一度の感染で、認証情報の露出、永続化の確立、横方向への移動、そして人間が操作するランサムウェアへの道を開く可能性があります。

macOSの運用・配備と分析回避フィンガープリント識別ゲート

同時に、MicrosoftはmacOS ClickFixクラスターを追跡しており、このクラスターは公開された悪意のあるターミナルコマンドの配布から、サーバーサイドのブラウザーフィンガープリント認証機構の裏にそれらを隠す形へ進化しています。このクラスターの攻撃活動には250を超えるドメインが関係しており、多くのドメインは「filewordword」などのアルゴリズム的な命名パターンを持ちます。訪問者がこれらのドメインへアクセスすると、軽量なJavaScript分析プログラムがブラウザー属性、WebGL GPUシグナル、タイムゾーンオフセット、iframeコンテキストを収集し、それらのフィンガープリントをサーバーに送信して評価します。

これらのチェックに通過しなかったリクエスト（例：サンドボックス、仮想マシン、もしくはmacOS以外のブラウザからのアクセス）は無害なダミーページ、または空白コンテンツが返されますが、本物のmacOSユーザーには偽の「認証済みパブリッシャー」ダウンロードページが表示され、そこに悪意のあるターミナルコマンドが含まれています。このトラフィック配信システムは、MacSyncやAtomic Stealerを含む情報窃取型マルウェアを拡散し、キーチェーンデータやブラウザ認証情報、暗号資産ウォレット、SSHキーの窃盗を狙っています。

フィンガープリント識別技術自体は新しいものではありませんが、これをClickFixインフラへ統合することで自動検出および分析が困難となり、悪意のあるコンテンツが適切に選別された被害者にのみ提供される形となっています。