TerminalFixとは？ 偽CAPTCHAから始まるPowerShell攻撃とリバーストンネルの仕組み

TerminalFixは何を狙う攻撃か

TerminalFixは、Microsoftが2026年8月28日に報告したソーシャルエンジニアリング型の攻撃キャンペーンです。ブラウザーの脆弱性を直接突くのではなく、ユーザー自身にコードを実行させる「ClickFix」手法の亜種にあたります。

攻撃者の目的は、単にマルウェアを1台のPCへ送り込むことではありません。感染したWindows端末に外部から接続できるリバーストンネルを構築し、その端末から到達可能な社内サービスへアクセスするための中継点に変えることです。1

偽CAPTCHAはどのようにユーザーをだますのか

1. 攻撃者が改ざんした正規Webサイトをユーザーが訪問します。
2. 画面上に、Cloudflare Turnstileに似せた「あなたが人間であることを確認」といった偽の認証画面が表示されます。
3. 認証手順の一部として、ユーザーに内容をコピーし、Windows TerminalやPowerShellへ貼り付けるよう指示します。

ここが決定的な警告サインです。通常のCAPTCHAやTurnstileはブラウザー上で完結する操作であり、コマンドシェルを開いたり、クリップボードの内容を実行したりする必要はありません。TerminalFixは、ユーザーにそのコマンドを「認証の一部」だと思い込ませ、コードの実行へ誘導します。1

従来のClickFixがWindowsの「ファイル名を指定して実行」ダイアログを使うことが多いのに対し、TerminalFixはWindows TerminalやPowerShellへ誘導します。これにより、攻撃者は1行のコマンドだけでなく、より複雑な複数行のスクリプトも実行させやすくなります。1

感染後に進む多段階のペイロード

コマンドを実行すると、信頼されやすい正規ツールや一見無害なファイルを組み合わせた、複数段階の処理が始まります。

1. ZIPアーカイブの取得：PowerShellがZIPファイルをダウンロードして展開し、C:\ProgramData 配下の目立ちにくいディレクトリへ配置します。
2. DLLサイドローディング：アーカイブには、Microsoft署名付きの LockScreenContentServer.exe と、攻撃者が用意した dui70.dll が含まれます。実行ファイルが同じディレクトリにある必要なDLLを読み込む仕組みを悪用し、正規実行ファイルを介して悪意あるDLLをロードさせます。署名が付いているのは実行ファイルであり、DLL自体が正規品になるわけではありません。
3. PNGへのペイロード隠蔽：後続のコンポーネントはPNG画像のデータ内に隠されます。これにより、通常のファイル確認やダウンロード検査では悪意ある内容を見つけにくくします。
4. 永続化：レジストリのRunエントリやスケジュールタスクを登録し、ユーザーのログオン後や指定した間隔で再び実行できるようにします。1

この構成から分かるのは、単一のファイル名をブロックするだけでは不十分だということです。PowerShellの実行、アーカイブの展開、ProgramDataへの不自然な書き込み、DLLのロード、画像ファイルへのアクセス、永続化といった複数の挙動を、エンドポイントのログ上で関連付けて検知する必要があります。

マルウェアが調べる情報

Microsoftの分析によると、マルウェアはシステム、ユーザー、プロセス、サービス、ネットワーク、セキュリティ設定など、ホストとネットワークに関する情報を収集します。さらにActive Directory（組織内のユーザー、コンピューター、グループなどを管理するディレクトリサービス）の偵察も行い、ドメイン環境や、次の侵入に利用できそうなシステム・アカウントを把握しようとします。1

通常はディレクトリ情報を大量に調べないワークステーションから、TerminalFixの実行チェーンと同時に不審な問い合わせが発生していないかを確認することが重要です。ドメインコントローラー、ユーザー、グループ、信頼関係、共有フォルダー、リモートシステム、特権アカウントなどの列挙は、優先的に調査すべき活動です。

リバーストンネルで何が変わるのか

このキャンペーンで特に重大なのが、Pythonの client.py インプラントです。これは pythonw.exe で起動されます。pythonw.exe は通常のコンソール画面を表示しないため、ユーザーから見えにくい状態で動作する可能性があります。1

クライアントはTLSとWebSocketを使い、gitnow[.]dev と外向きに通信します。攻撃者から指示を受けると、感染端末から指定された内部IPアドレスとポートへ接続し、そこで発生したTCP通信を暗号化されたWebSocket経由で中継します。仕組みとしては、SOCKS5に似たネットワークプロキシ動作です。1

つまり、感染したPCが外部から操作されるネットワーク中継点になります。リバーストンネルがあれば、インターネットから直接見えない社内サービスにも、感染端末が到達できる範囲と権限のもとでアクセスできる可能性があります。すべての内部システムへ自動的に侵入できるわけではありませんが、問題は「マルウェアに感染したPCが1台ある」だけでなく、「社内ネットワークへの経路を与えた」ことに広がります。

セキュリティ担当者が確認すべき兆候

単一の痕跡だけで断定せず、次の挙動が連続して発生していないかを組み合わせて確認します。

• ブラウザーでCAPTCHAや認証画面を見た直後に、Windows TerminalやPowerShellが起動している
• クリップボードから貼り付けた内容をPowerShellがダウンロード、デコード、展開、実行している
• 非表示ウィンドウのPowerShellが動作している、またはProgramData配下の不自然な場所へアーカイブや実行ファイルを書き込んでいる
• LockScreenContentServer.exe が本来のWindowsディレクトリ以外から実行され、同じ場所に dui70.dll が存在する
• PNGファイルへのアクセス直後に、新しいDLLやPythonファイル、スケジュールタスク、Runキーが作成されている
• HKCU または HKLM の ...\CurrentVersion\Run に新規または変更された値がある
• 不自然な名前や実行パスを持つスケジュールタスクがあり、PowerShell、pythonw.exe、client.py などを起動している
• pythonw.exe が client.py を引数にして起動し、gitnow[.]dev へTLSまたはWebSocket通信を行っている
• 通常は偵察を行わないワークステーションから、Active Directoryやネットワークの列挙が発生している。1

DNS、プロキシ、ファイアウォール、EDR、TLS/SNI、WebSocketの各種ログで gitnow[.]dev を検索してください。ただし、ドメイン名やファイル名などのインフラは変更される可能性があります。完全なハッシュ、URL、ファイルパス、タスク名、検知ルールについては、Microsoftの公式アドバイザリーを参照する必要があります。1

実行してしまった可能性がある場合の対応

1. 端末を隔離する：疑わしいPCをネットワークから切り離します。メモリ、プロセスツリー、PowerShellログ、スケジュールタスクの定義、永続化に使われたレジストリ、DNS・プロキシ記録、EDRテレメトリは、可能な限り保全してください。
2. インフラを遮断し、全体を調査する：確認されたドメインや配布インフラをDNS、セキュアWebゲートウェイ、プロキシ、ファイアウォール、エンドポイント側でブロックします。再接続する前に、同じ実行チェーンを持つ端末が他にないか環境全体を調べます。
3. 認証情報を保護する：その端末で使用・保存されていた認証情報は漏えいした可能性があるものとして扱います。封じ込めと初期調査の後、関連するパスワードを変更し、アクティブなセッションやトークンを無効化します。特権アカウント、ドメイン、クラウド、VPN、ブラウザー、サービス、APIの認証情報を優先してください。
4. 内部での活動を確認する：感染端末と利用者に関連するActive Directory認証、リモートアクセス、ファイルサーバー、VPN、管理ツールの利用状況を調査します。
5. 必要に応じて再構築する：感染が確認された端末は、可能であれば再イメージ化します。DLL、スケジュールタスク、Runキーを1つ削除するだけでは、別の永続化やトンネル経由で確立されたアクセスが残る可能性があります。

組織側で減らせるリスク

組織は、役割に応じてPowerShellやWindows Terminalの利用を制限し、必要に応じてWDACやAppLockerなどのアプリケーション制御を導入すべきです。実行ポリシーだけに依存することは避けてください。実行ポリシーはセキュリティ境界そのものではありません。最小権限の原則を適用し、不要なローカル管理者権限を削除することも、被害の抑制につながります。

PowerShell Script Block Logging（イベントID 4104を含む）を集中管理し、必要に応じてモジュールログやトランスクリプションも有効にします。AMSI、エンドポイント検知、改ざん防止、プロセス作成ログと組み合わせれば、攻撃チェーンの再構成に役立ちます。ブラウザーやWeb側では、改ざんサイトへのリダイレクト、悪意あるスクリプト注入、不審なクリップボード操作、既知のコマンド＆コントロール基盤も監視対象にします。1

ユーザー教育では、次のルールを明確に伝えることが重要です。

CAPTCHA、ブラウザーのエラー表示、広告、サポートページなどの指示で、コマンドを「ファイル名を指定して実行」、コマンドプロンプト、PowerShell、Windows Terminalへ貼り付けてはいけません。

正規のCAPTCHAがターミナルコマンドを要求することはありません。該当する画面が表示されたらページを閉じ、URLを社内の担当部署へ報告してください。

TerminalFixの教訓は、署名済み実行ファイル、Python、TLS、WebSocket、画像、正規Webサイトといった要素が、単独では無害に見えても、攻撃チェーンの一部になり得るという点です。対策では、ファイル名や単一のシグネチャをブロックするだけでなく、挙動を相関分析し、端末を素早く隔離し、認証情報を保護することが求められます。1