偽のCloudflare認証、Windows利用者にコマンド実行を促す

ウェブサイトの「セキュリティ確認」に見えても、Windowsの「ファイル名を指定して実行」やPowerShellにコマンドを貼り付けるよう求められたら、それは確認手順ではない。こうした操作を利用者自身に行わせる手口は「ClickFix」と呼ばれる。今回報告された2事例は偽のCloudflare認証画面を使う点で似ているが、同じ攻撃者や同じマルウェアによるものと示す証拠はない。315

ウクライナの企業サイトからPsychedelicへ

Arctic Wolf Labsによると、攻撃者は正規のウクライナ企業サイトにiframeを挿入し、ウクライナ語の偽認証画面を表示させた。訪問者が画面を操作すると、msiexecコマンドがクリップボードにコピーされ、Windowsの「ファイル名を指定して実行」に貼り付けるよう案内される。そのコマンドを実行すると、情報窃取型マルウェア「Psychedelic Stealer」を届けるMSI形式のインストーラーが取得される。ページを表示したことと、コマンドを実行して感染したことは別だ。313

Psychedelicが狙うのは、ブラウザーに保存されたパスワード、アカウントのトークン、暗号資産ウォレットのデータだ。タスクスケジューラを使った常駐化や、攻撃者側の指令サーバーとの通信も報告されている。実行が疑われる場合、情報流出だけでなく、端末上に活動が残っていないかも確認する必要がある。313

Arctic Wolf Labsは、欧州、南北米、アジア太平洋の32カ国で被害者を確認したとしている。ただし、これは感染端末の総数ではなく、確認された被害者の地理的な広がりを示す数字だ。また、ロシアを想起させる表示のトラフィック管理画面も報告しているが、その表示だけで攻撃者の身元、所在地、特定の集団への帰属は判断できない。31

third-party.comは別の事例

third-party.comは、開発者向け文書やコード例で仮のドメインとして使われてきた。BleepingComputerは、このドメインがWindowsからの訪問者に偽のCloudflare認証画面を見せ、PowerShellコマンドの実行を促していたと報じた。一方、無害な別画面が表示された訪問者もいる。文書中の「例」をたどった先が、実際に動く誘導ページになり得る点が問題だ。54

こちらはPsychedelicを届けるmsiexecの経路とは異なる。ドメインを訪れた記録だけでコマンドを実行したとは言えず、両事例の攻撃者やペイロードが共通するとも確認されていない。531

情報窃取だけで終わらない可能性

Blackpoint Cyberは、さらに別のClickFix経路で、RemotePanelとBoundSiphonが一緒に配布されたと報告した。前者は継続的な遠隔アクセスに、後者は認証情報や暗号資産関連データの窃取に使われる。ClickFixへの対応では、一度きりの情報流出だけでなく、その後の遠隔操作も視野に入れるべきだ。ただし、この発見がPsychedelicやthird-party.comとの関連を示すわけではない。19

利用者と管理者が確認したいこと

• 利用者への注意喚起： CAPTCHAやセキュリティ確認を名乗る画面が、Windowsの「ファイル名を指定して実行」やPowerShellへのコマンド貼り付けを求めたら、実行しない。1540
• 実行の有無を調べる： 不審なサイトへの訪問後に、予期しないmsiexecによる取得やPowerShellの起動がなかったかを確認し、利用者が案内されたコマンドを実行したかを切り分ける。315
• 影響を見極める： Psychedelicの実行が疑われるなら、ブラウザーの認証情報、トークン、ウォレットのデータと常駐化を調査する。別のClickFixペイロードなら、遠隔アクセスの可能性も確認する。319
• 誘導元を減らす： サイト管理者は挿入された不審なコンテンツを点検する。文書やテストに外部の実在ドメインを例として書いている場合は、管理できる例示先への置き換えを検討する。315