攻撃の核心：EtherHiding技術

このキャンペーンが特に厄介な理由は、従来のC2（コマンド＆コントロール）サーバーを使わず、攻撃命令の保存場所にBNBスマートチェーンのスマートコントラクトを利用している点です（EtherHiding技術）。スマートコントラクトの内容は、それをデプロイしたウォレットアドレスの所有者だけが変更できます。つまり、いったんチェーン上に書き込まれた悪用命令は、外部からの「削除」や「ブロック」が事実上不可能なのです 。このキャンペーンは、以前に偽のブラウザ更新通知を使ってマルウェアを配布していた「ClearFake」マルウェア活動と関連があるとされています 。

感染の流れ：改ざんWebサイトからマルウェア実行まで

攻撃は、ユーザーの信頼とWindows内蔵ツールを巧妙に悪用する、以下の流れで進行します。

1. Webサイトの改ざん – 攻撃者は正規のWebサイト（多くはWordPressサイト）を改ざんし、Base64エンコードされたJavaScriptをページに埋め込みます 。
2. ブロックチェーンへの問い合わせ – 埋め込まれたスクリプトはBNBスマートチェーンのRPCゲートウェイに接続し、特定のスマートコントラクトを照会して次の段階の悪用命令を取得します 。
3. 偽CAPTCHAの表示 – ブラウザが取得した命令をデコードし、利用者に偽のCAPTCHA認証画面を表示します 。
4. ソーシャルエンジニアリング（ClickFix/TerminalFix） – ユーザーは画面上の指示に従い、Windowsキー+Rで「ファイル名を指定して実行」を開く（またはWindowsターミナルやPowerShellを開く）、クリップボードに自動コピーされたコマンドを貼り付け、実行するよう誘導されます 。これが最も重要なソーシャルエンジニアリングのポイントであり、ユーザー自身に「感染作業」をさせてしまう点が特徴です。
5. マルウェアの実行 – 貼り付けられたコマンドが最終的なマルウェアペイロードをダウンロードし、実行します 。

悪用されるWindows標準ツール（Living-off-the-Land）

検知を回避するため、攻撃者は正規のWindows標準コンポーネントを大規模に悪用しています（Living-off-the-Land、通称LOLBins）。観測されたツールは以下の通りです。

• conhost – コンソールホスト。コマンド実行に使用。
• PowerShell – スクリプト実行やペイロードのダウンロードに使用。
• cmd（コマンドプロンプト） – 直接的なコマンド実行。
• mshta – 悪意のあるHTAファイルの実行。
• rundll32 – コマンドライン経由でのDLL読み込み。
• curl – 次の段階のペイロードダウンロード。
• WMI（Windows Management Instrumentation） – 横展開や永続化に利用。
• Windowsの「ファイル名を指定して実行」ダイアログ – ClickFixの仕掛けにおける最初の実行ポイント。

これらのツールはマイクロソフトが正規に提供する信頼済みコンポーネントであるため、多くの従来型エンドポイント防御をすり抜けることができます 。

配布されるマルウェア

このキャンペーンは単一のマルウェアに留まらず、情報窃取型トロイの木馬やリモートアクセス型トロイの木馬（RAT）を幅広く配布する「運び屋」として機能しています 。

• Lumma Stealer – 最も多く観測されている主要ペイロード 。ブラウザのパスワード、暗号資産ウォレットの認証情報、セッションCookieなどを収奪します。
• XWorm（Xworm） – データ窃取や追加ペイロードのダウンロードが可能なRAT。
• AsyncRAT – 監視、キーロギング、認証情報の窃取に使用されるオープンソースのRAT。
• MintsLoader – 追加のマルウェアをインストールするダウンローダー／ローダー。
• リモート管理ツール – AnyDeskなどの正規ツールを悪用し、永続化や横展開に利用される可能性があります。

感染が成功すると、認証情報の流出、永続的なアクセスの確保、ネットワーク内での横展開、そして最終的にはランサムウェアの展開にまで発展する恐れがあります 。なお、macOS環境では「MacSync」や「Atomic Stealer」といったペイロードも確認されています 。

マイクロソフトが推奨する防御策

マイクロソフトは、このキャンペーンから身を守るための具体的な推奨事項を発表しています 。

1. Microsoft Defenderの多層防御を有効化 – リアルタイム保護、クラウド配信型保護、改ざん防止機能をすべて有効にしてください。
2. コマンドラインツールを制限 – AppLockerやWindows Defender Application Control（WDAC）を使用して、PowerShell、mshta、rundll32など信頼できない実行をブロックします。
3. PowerShellスクリプトのログ記録を有効化 – スクリプトブロックのログ記録と文字起こしをオンにし、難読化されたコマンド実行の試みを検出します。
4. ユーザー教育（最も重要） – 出所不明のコマンドを「ファイル名を指定して実行」、ターミナル、PowerShellに決して貼り付けて実行しないでください。正規のCAPTCHAがユーザーにこのような操作を要求することは絶対にありません。
5. スマートコントラクトのRPCエンドポイントをブロック – 可能であれば、ブロックチェーンアクセスが不要なエンドポイントからパブリックなBNBスマートチェーンRPCゲートウェイへの送信アクセスを制限します。
6. Microsoft Defender for SmartScreenの使用 – このツールは初期アクセス段階で悪意のあるWebページをブロックし、ユーザーが偽CAPTCHAを目にする機会そのものを防ぎます 。

検出と防御の現状

今回のパブリックアドバイザリーでは、この特定キャンペーンに対するMicrosoft Defender Antivirusの検出名の完全なリストは提供されていません 。しかし、2026年7月から8月にかけての関連するセキュリティ研究によれば、Microsoft Defender for Endpointは以下のような挙動パターンに対して行動ベースの検出を提供しています 。

• Living-off-the-landの実行パターン
• 不審なWebDAVおよびMSHTAアクティビティ
• 難読化されたPowerShellの実行
• タスクスケジューラによる永続化
• メモリ内ペイロード実行
• ブラウザ認証情報の窃取行為

2026年8月5日に公開されたmacOS版ClickFixに関するブログでは、Microsoft Defender for SmartScreenが悪意のあるWebページをブロックし、Defender XDRが特定の戦術・テクニックマッピングに基づいて画面レベルのカバレッジを提供することが報告されています 。ClickFix脅威ファミリー全般に対するMicrosoft Defender Antivirusの検出名としては、Behavior:Win32/ClickFix、Trojan:Win32/ClickFix、Trojan:HTML/FakeCaptchaなどが確認されています 。今回のBNBチェーン関連JavaScriptインジェクションに対する具体的なシグネチャも展開されていますが、公開情報では個別の名前は明らかにされていません 。

重要なポイント：正規のCAPTCHAは、決して「ファイル名を指定して実行」やターミナルを開き、コマンドを貼り付けさせることはありません。この1点を覚えておくだけで、今回の攻撃の大部分を防ぐことができます。

攻撃の核心：EtherHiding技術

このキャンペーンが特に厄介な理由は、従来のC2（コマンド＆コントロール）サーバーを使わず、攻撃命令の保存場所にBNBスマートチェーンのスマートコントラクトを利用している点です（EtherHiding技術）。スマートコントラクトの内容は、それをデプロイしたウォレットアドレスの所有者だけが変更できます。つまり、いったんチェーン上に書き込まれた悪用命令は、外部からの「削除」や「ブロック」が事実上不可能なのです 。このキャンペーンは、以前に偽のブラウザ更新通知を使ってマルウェアを配布していた「ClearFake」マルウェア活動と関連があるとされています 。

感染の流れ：改ざんWebサイトからマルウェア実行まで

攻撃は、ユーザーの信頼とWindows内蔵ツールを巧妙に悪用する、以下の流れで進行します。

1. Webサイトの改ざん – 攻撃者は正規のWebサイト（多くはWordPressサイト）を改ざんし、Base64エンコードされたJavaScriptをページに埋め込みます 。
2. ブロックチェーンへの問い合わせ – 埋め込まれたスクリプトはBNBスマートチェーンのRPCゲートウェイに接続し、特定のスマートコントラクトを照会して次の段階の悪用命令を取得します 。
3. 偽CAPTCHAの表示 – ブラウザが取得した命令をデコードし、利用者に偽のCAPTCHA認証画面を表示します 。
4. ソーシャルエンジニアリング（ClickFix/TerminalFix） – ユーザーは画面上の指示に従い、Windowsキー+Rで「ファイル名を指定して実行」を開く（またはWindowsターミナルやPowerShellを開く）、クリップボードに自動コピーされたコマンドを貼り付け、実行するよう誘導されます 。これが最も重要なソーシャルエンジニアリングのポイントであり、ユーザー自身に「感染作業」をさせてしまう点が特徴です。
5. マルウェアの実行 – 貼り付けられたコマンドが最終的なマルウェアペイロードをダウンロードし、実行します 。

悪用されるWindows標準ツール（Living-off-the-Land）

検知を回避するため、攻撃者は正規のWindows標準コンポーネントを大規模に悪用しています（Living-off-the-Land、通称LOLBins）。観測されたツールは以下の通りです。

• conhost – コンソールホスト。コマンド実行に使用。
• PowerShell – スクリプト実行やペイロードのダウンロードに使用。
• cmd（コマンドプロンプト） – 直接的なコマンド実行。
• mshta – 悪意のあるHTAファイルの実行。
• rundll32 – コマンドライン経由でのDLL読み込み。
• curl – 次の段階のペイロードダウンロード。
• WMI（Windows Management Instrumentation） – 横展開や永続化に利用。
• Windowsの「ファイル名を指定して実行」ダイアログ – ClickFixの仕掛けにおける最初の実行ポイント。

これらのツールはマイクロソフトが正規に提供する信頼済みコンポーネントであるため、多くの従来型エンドポイント防御をすり抜けることができます 。

配布されるマルウェア

このキャンペーンは単一のマルウェアに留まらず、情報窃取型トロイの木馬やリモートアクセス型トロイの木馬（RAT）を幅広く配布する「運び屋」として機能しています 。

• Lumma Stealer – 最も多く観測されている主要ペイロード 。ブラウザのパスワード、暗号資産ウォレットの認証情報、セッションCookieなどを収奪します。
• XWorm（Xworm） – データ窃取や追加ペイロードのダウンロードが可能なRAT。
• AsyncRAT – 監視、キーロギング、認証情報の窃取に使用されるオープンソースのRAT。
• MintsLoader – 追加のマルウェアをインストールするダウンローダー／ローダー。
• リモート管理ツール – AnyDeskなどの正規ツールを悪用し、永続化や横展開に利用される可能性があります。

感染が成功すると、認証情報の流出、永続的なアクセスの確保、ネットワーク内での横展開、そして最終的にはランサムウェアの展開にまで発展する恐れがあります 。なお、macOS環境では「MacSync」や「Atomic Stealer」といったペイロードも確認されています 。

マイクロソフトが推奨する防御策

マイクロソフトは、このキャンペーンから身を守るための具体的な推奨事項を発表しています 。

1. Microsoft Defenderの多層防御を有効化 – リアルタイム保護、クラウド配信型保護、改ざん防止機能をすべて有効にしてください。
2. コマンドラインツールを制限 – AppLockerやWindows Defender Application Control（WDAC）を使用して、PowerShell、mshta、rundll32など信頼できない実行をブロックします。
3. PowerShellスクリプトのログ記録を有効化 – スクリプトブロックのログ記録と文字起こしをオンにし、難読化されたコマンド実行の試みを検出します。
4. ユーザー教育（最も重要） – 出所不明のコマンドを「ファイル名を指定して実行」、ターミナル、PowerShellに決して貼り付けて実行しないでください。正規のCAPTCHAがユーザーにこのような操作を要求することは絶対にありません。
5. スマートコントラクトのRPCエンドポイントをブロック – 可能であれば、ブロックチェーンアクセスが不要なエンドポイントからパブリックなBNBスマートチェーンRPCゲートウェイへの送信アクセスを制限します。
6. Microsoft Defender for SmartScreenの使用 – このツールは初期アクセス段階で悪意のあるWebページをブロックし、ユーザーが偽CAPTCHAを目にする機会そのものを防ぎます 。

検出と防御の現状

今回のパブリックアドバイザリーでは、この特定キャンペーンに対するMicrosoft Defender Antivirusの検出名の完全なリストは提供されていません 。しかし、2026年7月から8月にかけての関連するセキュリティ研究によれば、Microsoft Defender for Endpointは以下のような挙動パターンに対して行動ベースの検出を提供しています 。

• Living-off-the-landの実行パターン
• 不審なWebDAVおよびMSHTAアクティビティ
• 難読化されたPowerShellの実行
• タスクスケジューラによる永続化
• メモリ内ペイロード実行
• ブラウザ認証情報の窃取行為

2026年8月5日に公開されたmacOS版ClickFixに関するブログでは、Microsoft Defender for SmartScreenが悪意のあるWebページをブロックし、Defender XDRが特定の戦術・テクニックマッピングに基づいて画面レベルのカバレッジを提供することが報告されています 。ClickFix脅威ファミリー全般に対するMicrosoft Defender Antivirusの検出名としては、Behavior:Win32/ClickFix、Trojan:Win32/ClickFix、Trojan:HTML/FakeCaptchaなどが確認されています 。今回のBNBチェーン関連JavaScriptインジェクションに対する具体的なシグネチャも展開されていますが、公開情報では個別の名前は明らかにされていません 。

重要なポイント：正規のCAPTCHAは、決して「ファイル名を指定して実行」やターミナルを開き、コマンドを貼り付けさせることはありません。この1点を覚えておくだけで、今回の攻撃の大部分を防ぐことができます。