ClickFixの仕組み：4段階の欺瞞

攻撃は、ほぼすべての報告キャンペーンで一貫したパターンに従います：

1. 誘引：ユーザーが不正に改ざんされた、または悪意のあるWebサイトにアクセスすると、偽の認証プロンプト（偽のGoogle reCAPTCHA、偽のCloudflare「あなたは人間ですか？」ページ、偽のブラウザ更新メッセージ、偽のQuickBooksやBooking.comエラー画面など）が表示されます。
2. コピー＆ペーストの指示：ページには「Winキー+Rを押し、Ctrl+Vを押し、Enterキーを押してください」といった指示が表示されます。
3. 隠されたペイロード：ユーザーのクリップボードにコピーされたのは、リモートサーバーからマルウェアローダーをダウンロードして実行する悪意のあるPowerShell、mshta、またはcurlコマンドです。
4. 実行：コマンドはユーザー自身の権限で実行されます。ユーザー自身が貼り付けて起動したため、エンドポイント検出ツールはこれを侵入としてフラグ付けできないことがよくあります。

この手法は、クリップボードを感染経路として悪用することから**ペーストジャッキング（pastejacking）**とも呼ばれます。

ClickFixキャンペーンで配布されるペイロード

攻撃者はClickFixの誘引を使用して、多段階の感染チェーンで多種多様なマルウェアを配布しています：

• HijackLoader：少なくとも2025年6月以降、ClickFixチェーンで観測されているファーストステージローダー。多くの場合、その後DeerStealer情報窃取型マルウェアが配布される。
• CastleLoader（別名CastleBot）：2025年初頭から活動しているマルウェア・アズ・ア・サービス（MaaS）フレームワーク。あるキャンペーンでは、偽の背景除去Webサイトを使ってCastleLoaderを配布し、さらにNetSupport RATと、ブラウザ認証情報、暗号資産ウォレット、Telegramセッションを狙うカスタム.NETスティーラーをインストールした。
• NetSupport RAT：正規のリモート管理ツールだが、攻撃者に永続的なバックドアアクセスとして悪用されている。
• StealC：ブラウザの認証情報や暗号資産ウォレットを標的とする情報窃取型トロイの木馬。
• Amatera：偽のCAPTCHAと署名済みMicrosoft App-Vスクリプトを組み合わせたClickFixキャンペーンで配布される情報窃取型マルウェア。
• Rustベースのスティーラー：2025年後半に開始されたポリモーフィックなClickFixキャンペーンで確認されている。
• DeerStealer：HijackLoaderの後に最終的な実行可能ペイロードとして観測されている。
• ResiLoader：新たに文書化されたローダーで、最終ペイロードが実行される前に、被害者のマシン上の140以上のアンチウイルスおよびセキュリティツールのプロセスを強制終了するように設計されている。

配布方法

攻撃者はClickFix攻撃をホストし配布するために、多様なインフラを活用しています：

• Cloudflare R2ストレージ：悪意のあるペイロードバイナリのホスティングに使用。
• Cloudflare Pagesサブドメイン：Cloudflare自身の信頼された証明書を使用して偽のCAPTCHAページを提供するために悪用。
• Dedik Services Limitedホスティング：ClickFixのC&C（コマンド＆コントロール）インフラのホスティングプロバイダーとして観測。
• 期限切れドメイン：認証情報収集とペイロード配布に使用される、登録または再登録された期限切れドメイン。
• 不正に改ざんされたWebサイト：最も一般的な初期ベクター。攻撃者は正規サイトに悪意のあるJavaScriptやiframeを注入し（多くの場合プラグインの脆弱性やCMSのエクスプロイト経由）、訪問者をClickFixランディングページにリダイレクトする。
• SEOポイズニングとマルバタイジング：検索エンジンの結果経由でプッシュされる偽のインストーラーサイトや海賊版ソフトウェアポータル。
• Ghost CMS脆弱性の悪用：2026年5月、攻撃者は深刻なGhost CMS SQLインジェクションの脆弱性（CVE‑2026‑26980）を悪用し、700以上の正規の教育・テクノロジーWebサイトを乗っ取り、ClickFixプロンプトを注入した。

脅威の重要性：なぜClickFixが主流なのか

• Microsoftの**「2025 Digital Defense Report」は、ClickFixを第1位の初期アクセス手法と特定し、Microsoft Defender Expertsが過去1年間に観測した全攻撃の47%**を占めると報告。従来のフィッシング（35%）を上回っている。
• ESETのテレメトリは、2025年上半期だけでClickFix攻撃の517%の急増を記録した。
• Menlo Labsが文書化したあるキャンペーンでは、単一のポリモーフィックなJavaScriptの誘引から、クロスプラットフォームのペイロード（Windows用PowerShellコマンド、macOS用.commandスクリプト、Linux用Bashスクリプト）を配信した。
• 米国保健福祉省（HHS）は2026年7月、ClickFixに関するセクターアラートを発行し、この手法が重要インフラにまで及んでいることを確認した。
• Recorded FutureのInsikt Groupは2026年3月の評価で、ClickFixは2026年を通じて支配的な初期アクセスベクターであり続ける可能性が非常に高いと述べている。

防御策：研究者が推奨する対策

ClickFixはソフトウェアの脆弱性ではなく人間の行動を悪用するため、防御は技術的な制御とユーザーの意識向上に大きく依存します：

• PowerShellの実行を制限する：一般ユーザーがPowerShellスクリプトを実行できないようにブロックする。グループポリシーで実行ポリシーをRestrictedに設定し、すべてのPowerShell実行イベントをログに記録する。
• Windowsの「ファイル名を指定して実行」ボックスを無効にする：レジストリ修正（NoRunポリシー）により、Win+Rを使用したコマンドの貼り付けと実行を防ぐことができる。
• 不審なコマンドプロンプトの指示を危険信号として扱う：正規のWebサイトやサービスが、ユーザーにWin+Rを押させ、コマンドを貼り付け、Enterを押させることは決してありません。これはユーザー教育で最優先されるべき項目です。
• mshta、cscript、curlのユーザーコンテキストでの実行をブロックする：AppLockerやWindows Defender Application Controlを使用してスクリプトインタプリタを制限する。
• エンドポイント検出ルールを導入する：不審なpowershell.exe -ep bypassの親プロセス、explorer.exeからスクリプトインタプリタへのプロセス系統、RunMRUレジストリアーティファクトを監視する。
• クリップボードセキュリティ機能を利用する：ブラウザレベルのクリップボード保護により、ClickFixが依存するコピー＆ペーストの仕組みを防止できる。

OperaのPaste Protect機能

Operaは、Windows、macOS、Linux向けのOpera 100以降で利用可能なネイティブのPaste Protect機能を導入しました。この機能は、クリップボードベースのペーストジャッキング攻撃を傍受しブロックします。Webサイトがプログラムで不審なペイロードをクリップボードに書き込み、ユーザーに貼り付けを促した場合、Paste Protectはユーザーに警告し、操作の完了をブロックします。これにより、拡張機能のインストールを必要とせずに、ClickFix手法の中核を直接軽減できます。

ClickFixの仕組み：4段階の欺瞞

攻撃は、ほぼすべての報告キャンペーンで一貫したパターンに従います：

1. 誘引：ユーザーが不正に改ざんされた、または悪意のあるWebサイトにアクセスすると、偽の認証プロンプト（偽のGoogle reCAPTCHA、偽のCloudflare「あなたは人間ですか？」ページ、偽のブラウザ更新メッセージ、偽のQuickBooksやBooking.comエラー画面など）が表示されます。
2. コピー＆ペーストの指示：ページには「Winキー+Rを押し、Ctrl+Vを押し、Enterキーを押してください」といった指示が表示されます。
3. 隠されたペイロード：ユーザーのクリップボードにコピーされたのは、リモートサーバーからマルウェアローダーをダウンロードして実行する悪意のあるPowerShell、mshta、またはcurlコマンドです。
4. 実行：コマンドはユーザー自身の権限で実行されます。ユーザー自身が貼り付けて起動したため、エンドポイント検出ツールはこれを侵入としてフラグ付けできないことがよくあります。

この手法は、クリップボードを感染経路として悪用することから**ペーストジャッキング（pastejacking）**とも呼ばれます。

ClickFixキャンペーンで配布されるペイロード

攻撃者はClickFixの誘引を使用して、多段階の感染チェーンで多種多様なマルウェアを配布しています：

• HijackLoader：少なくとも2025年6月以降、ClickFixチェーンで観測されているファーストステージローダー。多くの場合、その後DeerStealer情報窃取型マルウェアが配布される。
• CastleLoader（別名CastleBot）：2025年初頭から活動しているマルウェア・アズ・ア・サービス（MaaS）フレームワーク。あるキャンペーンでは、偽の背景除去Webサイトを使ってCastleLoaderを配布し、さらにNetSupport RATと、ブラウザ認証情報、暗号資産ウォレット、Telegramセッションを狙うカスタム.NETスティーラーをインストールした。
• NetSupport RAT：正規のリモート管理ツールだが、攻撃者に永続的なバックドアアクセスとして悪用されている。
• StealC：ブラウザの認証情報や暗号資産ウォレットを標的とする情報窃取型トロイの木馬。
• Amatera：偽のCAPTCHAと署名済みMicrosoft App-Vスクリプトを組み合わせたClickFixキャンペーンで配布される情報窃取型マルウェア。
• Rustベースのスティーラー：2025年後半に開始されたポリモーフィックなClickFixキャンペーンで確認されている。
• DeerStealer：HijackLoaderの後に最終的な実行可能ペイロードとして観測されている。
• ResiLoader：新たに文書化されたローダーで、最終ペイロードが実行される前に、被害者のマシン上の140以上のアンチウイルスおよびセキュリティツールのプロセスを強制終了するように設計されている。

配布方法

攻撃者はClickFix攻撃をホストし配布するために、多様なインフラを活用しています：

• Cloudflare R2ストレージ：悪意のあるペイロードバイナリのホスティングに使用。
• Cloudflare Pagesサブドメイン：Cloudflare自身の信頼された証明書を使用して偽のCAPTCHAページを提供するために悪用。
• Dedik Services Limitedホスティング：ClickFixのC&C（コマンド＆コントロール）インフラのホスティングプロバイダーとして観測。
• 期限切れドメイン：認証情報収集とペイロード配布に使用される、登録または再登録された期限切れドメイン。
• 不正に改ざんされたWebサイト：最も一般的な初期ベクター。攻撃者は正規サイトに悪意のあるJavaScriptやiframeを注入し（多くの場合プラグインの脆弱性やCMSのエクスプロイト経由）、訪問者をClickFixランディングページにリダイレクトする。
• SEOポイズニングとマルバタイジング：検索エンジンの結果経由でプッシュされる偽のインストーラーサイトや海賊版ソフトウェアポータル。
• Ghost CMS脆弱性の悪用：2026年5月、攻撃者は深刻なGhost CMS SQLインジェクションの脆弱性（CVE‑2026‑26980）を悪用し、700以上の正規の教育・テクノロジーWebサイトを乗っ取り、ClickFixプロンプトを注入した。

脅威の重要性：なぜClickFixが主流なのか

• Microsoftの**「2025 Digital Defense Report」は、ClickFixを第1位の初期アクセス手法と特定し、Microsoft Defender Expertsが過去1年間に観測した全攻撃の47%**を占めると報告。従来のフィッシング（35%）を上回っている。
• ESETのテレメトリは、2025年上半期だけでClickFix攻撃の517%の急増を記録した。
• Menlo Labsが文書化したあるキャンペーンでは、単一のポリモーフィックなJavaScriptの誘引から、クロスプラットフォームのペイロード（Windows用PowerShellコマンド、macOS用.commandスクリプト、Linux用Bashスクリプト）を配信した。
• 米国保健福祉省（HHS）は2026年7月、ClickFixに関するセクターアラートを発行し、この手法が重要インフラにまで及んでいることを確認した。
• Recorded FutureのInsikt Groupは2026年3月の評価で、ClickFixは2026年を通じて支配的な初期アクセスベクターであり続ける可能性が非常に高いと述べている。

防御策：研究者が推奨する対策

ClickFixはソフトウェアの脆弱性ではなく人間の行動を悪用するため、防御は技術的な制御とユーザーの意識向上に大きく依存します：

• PowerShellの実行を制限する：一般ユーザーがPowerShellスクリプトを実行できないようにブロックする。グループポリシーで実行ポリシーをRestrictedに設定し、すべてのPowerShell実行イベントをログに記録する。
• Windowsの「ファイル名を指定して実行」ボックスを無効にする：レジストリ修正（NoRunポリシー）により、Win+Rを使用したコマンドの貼り付けと実行を防ぐことができる。
• 不審なコマンドプロンプトの指示を危険信号として扱う：正規のWebサイトやサービスが、ユーザーにWin+Rを押させ、コマンドを貼り付け、Enterを押させることは決してありません。これはユーザー教育で最優先されるべき項目です。
• mshta、cscript、curlのユーザーコンテキストでの実行をブロックする：AppLockerやWindows Defender Application Controlを使用してスクリプトインタプリタを制限する。
• エンドポイント検出ルールを導入する：不審なpowershell.exe -ep bypassの親プロセス、explorer.exeからスクリプトインタプリタへのプロセス系統、RunMRUレジストリアーティファクトを監視する。
• クリップボードセキュリティ機能を利用する：ブラウザレベルのクリップボード保護により、ClickFixが依存するコピー＆ペーストの仕組みを防止できる。

OperaのPaste Protect機能

Operaは、Windows、macOS、Linux向けのOpera 100以降で利用可能なネイティブのPaste Protect機能を導入しました。この機能は、クリップボードベースのペーストジャッキング攻撃を傍受しブロックします。Webサイトがプログラムで不審なペイロードをクリップボードに書き込み、ユーザーに貼り付けを促した場合、Paste Protectはユーザーに警告し、操作の完了をブロックします。これにより、拡張機能のインストールを必要とせずに、ClickFix手法の中核を直接軽減できます。