# 偽CAPTCHAがマルウェアを実行させる > 侵害されたサイトが端末へのコマンド貼り付けを本人確認に見せかけ、慣れたCAPTCHA操作を利用者自身によるマルウェア実行へ変えている。 _Source: Microsoft Threat Intelligence technical analysis, independently corroborated by Ars Technica reporting on the wider ClickFix pattern across Windows and macOS · 2026-09-12 · 6 min read · Verified against primary sources_ Canonical: https://iyu.app/ja/e/clickfix-fake-captcha-terminal-malware ## 60秒でわかる ClickFixは偽CAPTCHAを使い、ブラウザー外で攻撃者のコマンドを貼り付けて実行するよう利用者を誘導します。 **要点** - Run、PowerShell、Windows Terminal、macOSのターミナルを開く指示が最も明確な警告です。 - MicrosoftはDLLサイドローディング、永続化、ドメイン偵察、リバーストンネルを含むWindows TerminalFixを分析しました。 - 独立報道は広いClickFix手法がPCとMacに及ぶと示しますが、ペイロードはキャンペーンごとに異なります。 - すでに実行した場合は端末を隔離し、インシデント対応を開始し、安全な端末から認証情報を変更します。 **結論.** ブラウザーを離れてコマンドを貼り付けさせるCAPTCHAは悪意あるものとして扱うべきで、見た目の真偽を判断するより確実な境界です。 ## 本文 > **⚑ Caveat:** 証拠の範囲：Microsoftが記録したのは具体的なWindows TerminalFixチェーンです。Ars Technicaは別に、より広いClickFix手法がPCとMacに及ぶと報じました。クロスプラットフォームなのは誘導手法であり、Microsoftが示したDLLサイドローディング、ドメイン偵察、リバーストンネルがすべてのClickFixで共通するわけではありません。 ### 警告サイン — CAPTCHAはブラウザー内で完結する 確認ページが**Run、PowerShell、Windows Terminal、macOSのターミナル**を開き、コマンドを貼り付けてEnterを押すよう求めたら中止してください。通常のCAPTCHAではなく、ClickFixの典型的な誘導です。 攻撃者は長く信頼されてきたサイトを侵害する場合があります。本物らしいレイヤーがコマンドをクリップボードへ置き、利用者を最後の実行段階にします。OSから見えるのは、ブラウザーの脱出ではなく、利用者による正規ツールの起動です。 > 正規のウェブ確認は、ブラウザー外でのコマンド実行を必要としません。 ### 攻撃の流れ — クリックがコード実行へ変わるまで - **1. 誘導:** 侵害済みまたは悪意あるサイトが、見慣れたCAPTCHAに似た確認レイヤーを表示します。 - **2. クリップボード:** 操作すると攻撃者のコマンドがコピーされ、OSのコマンド画面を開く手順が示されます。 - **3. 実行:** 利用者が貼り付けて実行し、コマンドはその利用者の権限を得ます。 - **4. ペイロード:** コマンドが後段を取得して起動します。実際のマルウェアはキャンペーンやOSで異なります。 この手口は、現代のウェブが生む操作疲れを利用します。同意画面、ポップアップ、繰り返す本人確認に慣れると、もう一つの不自然な指示も日常に見えます。被害者を責めるだけでは、この設計環境を防御できません。 ### 事例 — MicrosoftがTerminalFixで観測したもの Microsoft Threat Intelligenceが分析した**TerminalFix**はWindowsキャンペーンです。貼り付けたPowerShellコマンドが、正規の署名済みWindowsプログラムと不正DLLを並べたアーカイブを取得し、正規プログラムの起動時に攻撃者のDLLを読み込ませました。これはDLLサイドローディングと呼ばれます。 - 後段コードはPNGのピクセルデータ内に隠したペイロードを抽出しました。 - レジストリとスケジュールタスクで再起動後や一定間隔の実行を維持しました。 - ドメイン関係、管理者、コンピューター、利用者、特定サーバーを列挙しました。 - Python製リバーストンネルが暗号化されたプロキシ型アクセスを提供しました。 このトンネルは感染端末を組織ネットワークへの足掛かりにし得ます。Microsoftは横展開と認証情報流出の調査を勧めていますが、この事例で後段の権限昇格、情報窃取、防御停止、ランサムウェアを**観測したわけではありません**。 - **1コマンド** — 利用者が許可し、攻撃チェーンを開始する操作 - **8段階** — MicrosoftによるTerminalFix概要 - **PCとMac** — 独立報道が扱った広いClickFixの対象 ### 範囲 — 一つのマルウェアではなく手法 ClickFixは誘導パターンの名称です。攻撃者ごとにページ、コマンド、基盤、ペイロードは異なります。Ars TechnicaはWindowsとmacOSへの誘導を報じましたが、Microsoftの詳細はWindows企業事例であり、Macで同じDLLやドメイン偵察が起きることを意味しません。 ### 対応 — 利用者と防御側が行うこと - **実行前：**OSツールへのコマンド貼り付けを求めるページは閉じます。実行して調べようとしないでください。 - **実行後：**機密作業を止め、対応手順に従って端末を隔離し、何をどこから貼り付けたか報告します。 - **認証情報：**端末から利用できた認証情報は流出の可能性があると考え、安全な端末から特権アカウントを優先して変更します。 - **組織の強化：**可能な範囲でコマンドツールを制限し、ログとアプリ制御を有効にし、異常な実行パスを監視し、ブラウザー、端末、ネットワーク防御を重ねます。 長く使える判断基準は明確です。サイトはブラウザー内のクリックを求めることはあっても、利用者をコマンド実行役にしてはいけません。 ## Primary sources - [Microsoft Security: TerminalFix campaign technical analysis](https://www.microsoft.com/en-us/security/blog/2026/08/28/terminalfix-campaign-deploys-reverse-tunnel-through-multistage-intrusion/) - [Ars Technica: ClickFix attacks infecting PCs and Macs are going viral](https://arstechnica.com/security/2026/09/clickfix-attacks-infecting-pcs-and-macs-are-going-viral/) --- _Published by iyu (https://iyu.app) — the day's AI news, checked against primary sources and rewritten in plain language. Free to quote with attribution and a link to the canonical URL._