偽CAPTCHAがマルウェアを実行させる

警告サインCAPTCHAはブラウザー内で完結する

確認ページがRun、PowerShell、Windows Terminal、macOSのターミナルを開き、コマンドを貼り付けてEnterを押すよう求めたら中止してください。通常のCAPTCHAではなく、ClickFixの典型的な誘導です。

攻撃者は長く信頼されてきたサイトを侵害する場合があります。本物らしいレイヤーがコマンドをクリップボードへ置き、利用者を最後の実行段階にします。OSから見えるのは、ブラウザーの脱出ではなく、利用者による正規ツールの起動です。

正規のウェブ確認は、ブラウザー外でのコマンド実行を必要としません。

攻撃の流れクリックがコード実行へ変わるまで

1. 誘導	侵害済みまたは悪意あるサイトが、見慣れたCAPTCHAに似た確認レイヤーを表示します。
2. クリップボード	操作すると攻撃者のコマンドがコピーされ、OSのコマンド画面を開く手順が示されます。
3. 実行	利用者が貼り付けて実行し、コマンドはその利用者の権限を得ます。
4. ペイロード	コマンドが後段を取得して起動します。実際のマルウェアはキャンペーンやOSで異なります。

この手口は、現代のウェブが生む操作疲れを利用します。同意画面、ポップアップ、繰り返す本人確認に慣れると、もう一つの不自然な指示も日常に見えます。被害者を責めるだけでは、この設計環境を防御できません。

事例MicrosoftがTerminalFixで観測したもの

Microsoft Threat Intelligenceが分析したTerminalFixはWindowsキャンペーンです。貼り付けたPowerShellコマンドが、正規の署名済みWindowsプログラムと不正DLLを並べたアーカイブを取得し、正規プログラムの起動時に攻撃者のDLLを読み込ませました。これはDLLサイドローディングと呼ばれます。

後段コードはPNGのピクセルデータ内に隠したペイロードを抽出しました。
レジストリとスケジュールタスクで再起動後や一定間隔の実行を維持しました。
ドメイン関係、管理者、コンピューター、利用者、特定サーバーを列挙しました。
Python製リバーストンネルが暗号化されたプロキシ型アクセスを提供しました。

このトンネルは感染端末を組織ネットワークへの足掛かりにし得ます。Microsoftは横展開と認証情報流出の調査を勧めていますが、この事例で後段の権限昇格、情報窃取、防御停止、ランサムウェアを観測したわけではありません。

1コマンド利用者が許可し、攻撃チェーンを開始する操作

8段階MicrosoftによるTerminalFix概要

PCとMac独立報道が扱った広いClickFixの対象

範囲一つのマルウェアではなく手法

ClickFixは誘導パターンの名称です。攻撃者ごとにページ、コマンド、基盤、ペイロードは異なります。Ars TechnicaはWindowsとmacOSへの誘導を報じましたが、Microsoftの詳細はWindows企業事例であり、Macで同じDLLやドメイン偵察が起きることを意味しません。

対応利用者と防御側が行うこと

実行前：OSツールへのコマンド貼り付けを求めるページは閉じます。実行して調べようとしないでください。
実行後：機密作業を止め、対応手順に従って端末を隔離し、何をどこから貼り付けたか報告します。
認証情報：端末から利用できた認証情報は流出の可能性があると考え、安全な端末から特権アカウントを優先して変更します。
組織の強化：可能な範囲でコマンドツールを制限し、ログとアプリ制御を有効にし、異常な実行パスを監視し、ブラウザー、端末、ネットワーク防御を重ねます。

長く使える判断基準は明確です。サイトはブラウザー内のクリックを求めることはあっても、利用者をコマンド実行役にしてはいけません。