ClickFixマルウェアキャンペーン、新たな配信戦術で復活

概要

新しいClickFixキャンペーンが、偽のCloudflare検証ページを使用してmacOSとWindowsユーザーの両方をターゲットにしていることが確認されました。このキャンペーンは悪意のあるドメインを利用して、欺瞞的なコンテンツをホストし、マルウェアを配布しています。この調査では、サーバーエラーと解決の失敗のため、特定のマルウェアペイロードを取得することができませんでした。

調査

調査者は、偽の検証ページから生成されるトラフィックを分析し、特定の悪意のあるドメインにホストされたURLのチェーンを特定しました。Windows用のマルウェアを取得しようとしたところ403 Forbiddenエラーが発生し、macOS特有のコマンドは解決に失敗したドメインに導きました。調査は、この欺瞞的なスクリプトのURLパターンとホスティングインフラに焦点を当てました。

緩和策

ユーザーは偽の検証ページを認識し、予期せぬブラウザプロンプトによって指示されるコマンドの実行やファイルのダウンロードを避けるよう教育されるべきです。組織はこのキャンペーンで特定された既知の悪意のあるドメインをブロックするためにウェブフィルタリングを実装するべきです。また、ウェブベースのやり取りの後の異常なプロセス実行を監視することも推奨されます。

対応策

特定された悪意のあるドメインとの通信が検出された場合、感染したホストをネットワークから隔離します。エンドポイントのフォレンジック分析を実施して、コマンドが実行されたか、またはマルウェアが成功裏にダウンロードされたかを確認します。ウェブプロキシログを確認して、特定されたインフラストラクチャと通信している他の可能性のある内部ホストを特定します。

シミュレーション実行

• 攻撃シナリオ＆コマンド: 敵対者はユーザーを偽の「Cloudflare検証」ページに訪問させるためにソーシャルエンジニアリングを成功させました。ページをロードすると、ブラウザは攻撃者が制御するドメインへのいくつかのリクエストを自動的に行います js-static.cfd 欺瞞的な視覚要素（フォントやロゴ）と主要な悪意のあるロジック（embed.js）を引き入れるためです。このシミュレーションでは curl を使い、これらの特定のURLに対するGETリクエストをブラウザの動作を模倣してプロキシベースの検出ルールを引き起こします。

• 回帰テストスクリプト:

  #!/bin/bash
  # ClickFix キャンペーンシミュレーションスクリプト
  # 目的: Sigmaルールパターンに一致するテレメトリーを生成
  
  echo "[*] ClickFixシミュレーション開始..."
  
  # ターゲットドメイン: js-static.cfd
  # 検出ロジックで特定されたさまざまなURLをシミュレート
  
  echo "[+] シミュレーション中: 悪意のある埋め込みスクリプトのロード..."
  curl -s -o /dev/null "http://js-static.cfd/embed.js?v=24"
  
  echo "[+] シミュレーション中: APIテレメトリヒット..."
  curl -s -o /dev/null "http://js-static.cfd/api/s/hit"
  
  echo "[+] シミュレーション中: 偽Clouflareアセット（ロゴ/フォント）ロード..."
  curl -s -o /dev/null "http://js-static.cfd/static/CF-Logo 1.png"
  curl -s -o /dev/null "http://js-static.cfd/static/fonts/jetbrains-mono-600.woff2"
  
  echo "[+] シミュレーション中: APIトラックイベント..."
  curl -s -o /dev/null "http://js-static.cfd/api/track/event"
  
  echo "[*] シミュレーション完了。SIEMでアラートを確認してください。"

• クリーンアップコマンド:

  # システムに永続的な変更はありません。
  # ファイルがダウンロードされていれば、それらを削除します。
  rm -f embed.js CF-Logo*.png
  echo "[*] クリーンアップ完了。"