新たなClickFixキャンペーンは、たった一度のコピー&ペースト操作が、デバイスとその周囲のネットワークへの扉を開く可能性があることを示している。GBHackersの報道によると、このキャンペーンはLorem Ipsumローダーと呼ばれるコンポーネントを使用してPythonベースのトンネリングインプラントをインストールし、攻撃者に被害者への隠密な経路を与えている。このClickFix攻撃のトンネリングインプラントチェーンは、最も効果的な攻撃のいくつかはソフトウェアの欠陥をまったく悪用しないということを思い起こさせる有用な事例である。それらは、人に自分でコードを実行させるよう説得することに依存している。
元の報道は簡潔であるため、本記事は確認された内容に限定している。すなわち、配布方法、ローダー、および関与するインプラントの種類である。詳細が入手できない箇所については、その旨を明記している。
ClickFixが人々を騙して自分自身を感染させる手口
ClickFixはソーシャルエンジニアリングの手法である。明らかなダウンロードを通じてマルウェアを配布する代わりに、攻撃者は被害者に、問題に対する日常的な修正のように見えるプロンプトを表示する。ユーザーはコマンドをコピーして、Windowsのファイル名を指定して実行ダイアログやターミナルなどのシステムウィンドウに貼り付けるよう指示される。ユーザー自身がこの操作を行うため、不審なダウンロードや添付ファイルを検知するように設計された保護を回避できる。
このアプローチを効果的にしているのは、その単純さである。疑うべき奇妙なインストーラーは存在しない。人はただ、トラブルシューティングの指示に見えるものに従っているだけである。このキャンペーンでは、貼り付けられたコマンドがLorem Ipsumローダーに至る感染チェーンを開始するものである。
Lorem Ipsumローダーとトンネリングインプラントの役割
ローダーとは、主な役割が別の何かを取り込むことである小さなプログラムである。ここでは、Lorem IpsumローダーがPythonベースのトンネリングインプラントをインストールする。インプラントとは、攻撃者が長期間にわたってアクセスを維持できるよう、侵害されたマシン上で実行され続けるソフトウェアのことである。
トンネリングとは、感染したデバイスと攻撃者が制御するシステムとの間でトラフィックを運ぶチャネルを作成することを意味する。実際には、これにより攻撃者は被害者のマシンへの隠密な経路を得ることができ、場合によってはそのデバイスが見ることのできる他のリソースに到達する手段も得られる。報道はその結果を被害者への隠密な経路と表現しており、これが核心的なリスクである。攻撃者の活動はデバイスの通常の接続に紛れ込むことができる。
元の報道では、被害者の数、キャンペーンの背後にあるインフラ、または誰が責任者であるかなど、さらなる技術的詳細は提供されていないため、これらの点について推測はしない。
トンネリングインプラントがプライバシーにとって重要な理由
トンネリングインプラントが懸念されるのは、その間に何が入り込めるかという点である。家庭やオフィスのネットワーク上のデバイスは、個人ファイル、保存されたセッション、内部ツール、共有ドライブ、その他の接続されたデバイスにアクセスできる可能性がある。攻撃者がそのマシンへの隠れたチャネルを持っていれば、そのデバイスは単なる一つの侵害点ではなく、踏み台になり得る。
これが、コピー&ペーストのミスが1台のラップトップを超えた影響を持ち得る理由である。この種のアクセスは、デバイスが触れるすべてのもののプライバシーを損なう可能性がある。従業員にとっては、自宅やリモート環境から到達可能な雇用主のシステムに対するリスクも高める可能性がある。
これは、日常的なWebツールがユーザーに対して悪用される他の事例と類似したパターンである。例えば、先日悪意のあるChrome拡張機能が暗号資産データを窃取していた事例を取り上げたが、これも日常的に見えるものが侵入経路となる別の事例である。
あなたにとっての意味
重要な点は、あなたがソフトウェアだけでなく、この手口の標的であるということだ。完全に更新されたコンピューターであっても、悪意のあるコマンドを実行するよう説得されれば、侵害される可能性がある。コンピューターを使用し、Webページ、ポップアップ、または偽の確認やエラープロンプトに遭遇する人は誰でも、この種の誘いにさらされる可能性がある。
良いニュースは、防御がシンプルであり、あなたの制御の範囲内にあるということだ。攻撃は一つの操作に依存しており、それを断ることでチェーンが断ち切られる。
警告サインと自分を守る方法
以下の危険信号に注意してほしい。
- Webページが、問題を「修正」したり人間であることを「確認」したりするために、テキストをコピーしてファイル名を指定して実行ダイアログ、ターミナル、またはPowerShellに貼り付けるよう求める。
- システムのコマンドウィンドウを開くキーボードショートカットを押すよう指示される。
- プロンプトが緊急性を煽り、すぐに行動しなければ何かが壊れるまたはブロックされると主張する。
- そのような指示に従った後、説明のつかないPythonプロセスや見慣れないバックグラウンド活動が見られる。
不審なコマンドを実行したと思われる場合は、デバイスをネットワークから切断し、信頼できるエンドポイント保護でフルスキャンを実行し、別のクリーンなデバイスから重要なパスワードを変更してほしい。そのマシンが業務用であれば、ITまたはセキュリティチームに速やかに伝えてほしい。
主なポイント
ClickFix攻撃のトンネリングインプラントキャンペーンは、一度の貼り付けが多くの優れたセキュリティ習慣を台無しにし得ることを思い起こさせる。リスクを減らすために、以下を実施してほしい。
- Webプロンプトからのコマンドを決して貼り付けない。完全に理解し、送信元を信頼しない限り、ターミナルやファイル名を指定して実行ダイアログに貼り付けてはならない。
- オペレーティングシステムとソフトウェアにパッチを適用し続け、不審な動作を検知できるエンドポイント保護を使用する。
- 緊急性を煽る「修正」および「確認」プロンプトを疑い、代わりにページを閉じる。
- ネットワーク衛生を大局的に捉える。 VPNはトラフィックを保護するための有用な層の一つになり得るが、自分自身のデバイス上で実行するマルウェアを止めるものではない。
日常的なWebツールが悪用される別の事例については、暗号資産データを窃取する悪意のあるブラウザ拡張機能に関するレポートを読み、攻撃者の仕事を代わりにやるよう求めるあらゆるプロンプトに対して懐疑的な姿勢を保ってほしい。
