ClickFixの手口、クリップボード攻撃を超えて進化

概要

ClickFixは、偽のブラウザ確認プロンプトを通じてユーザーに悪意のあるコマンドを実行させるソーシャルエンジニアリング手法です。脅威行為者は、この方法を進化させ、RATやローダー、情報盗難ツールを含む幅広いペイロードを配信しています。より新しいバリアントでは、ステガノグラフィーによる配信やブラウザキャッシュを利用した実行チェーンが含まれています。

調査

Huntressは、悪意のある広告、タイポスクワッティング、SEOポイズニングキャンペーンを含む複数のClickFixバリアントを調査しました。研究者は、DuskDeskのようなNode.jsベースのRATを使用した攻撃チェーン、Microsoftの正規バイナリを用いたDLLサイドローディング、実行可能なペイロードを隠すためのPNGステガノグラフィーを特定しました。調査では、ネイティブウィンドウズプロトコルを通じてドメインコントローラーを狙った横移動活動も判明しました。

対策

組織は、ユーザーにウェブページから端末や実行ダイアログにコマンドを貼り付けないように教育するべきです。技術的な対策には、アプリケーションの許可リスト化、Tempなどのユーザー書き込み可能な場所からの実行のブロック、疑わしいスケジュールされたタスクやRunキーの監視が含まれるべきです。ローカル管理者特権の制限も強く推奨されます。

対応

ClickFix活動が検出された場合、セキュリティチームは静的なIOCに頼るだけでなく、疑わしい行動シーケンスに注目するべきです。ブラウザが cmd.exe やPowerShellを起動すること、Tempディレクトリに予期しない圧縮ファイルが現れること、新しく作成されたスケジュールタスクの調査を行うべきです。許可されていない逆転SSHトンネルや異常なネットワーク接続が node.exe.

シミュレーション実行

• 攻撃の進行ストーリーとコマンド: 攻撃者は、ユーザーにダウンロードされたファイルを実行させて、ブラウザのエラーを「修正」するように促すソーシャルエンジニアリングの戦術（ClickFix）を利用します。このシミュレーションでは、ユーザーが .bat ファイルをフォルダから起動し、それがPowerShellコマンドを実行するという方法を模倣しています。これにより、特定のテレメトリ（cmd.exeがPowerShellを起動し、.batファイルを実行する）が作成され、ルールがこれを検出するように設計されています。 cmd.exe to execute a PowerShell command. This creates the specific telemetry (cmd.exe spawning PowerShell and the execution of a .bat file) that the rule is designed to catch.

• 回帰テストスクリプト:

  # シミュレーションスクリプト: ClickFixスタイルの行動
  # 1. ダウンロードされたペイロードを模倣するダミーバッチファイルを作成
  $batchPath = "$env:TEMPupdate_fix.bat"
  "@echo off`npowershell.exe -NoProfile -ExecutionPolicy Bypass -Command `"Write-Host 'Simulating Payload Delivery...'`"" | Out-File -FilePath $batchPath -Encoding ascii
  
  # 2. バッチファイルを実行（これがルールの'selection_batch'部分をトリガーします）
  Write-Host "[!] 疑似悪意のあるバッチファイルを実行します..."
  Start-Process "cmd.exe" -ArgumentList "/c $batchPath" -Wait
  
  # 3. explorerから生成されたPowerShellをシミュレート（'selection_powershell'をトリガーします）
  # 注意: シェルスクリプトではexplorer.exeの親をシミュレートするために、サブシェルアプローチを使用
  Write-Host "[!] Explorerコンテキストから生成されるPowerShellをシミュレート..."
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -Command `"Write-Host 'Simulated PowerShell from Explorer'`""

• クリーンアップコマンド:

  # クリーンアップ: 疑似悪意のあるファイルを削除します
  Remove-Item -Path "$env:TEMPupdate_fix.bat" -ErrorAction SilentlyContinue
  Write-Host "[+] クリーンアップ完了."