偽CAPTCHAが端末を裏口に変える 新手口TerminalFix

3行まとめ

• 偽のCloudflare確認画面が、利用者にコマンドを貼り付けさせます。
• 追加の部品はPNG画像に隠され、取り出したあと元の画像は消されます。
• 最後に逆向きの通信路が残り、攻撃者は社内ネットワークに入り込めます。

何が起きたか

Microsoftは、TerminalFixと呼ぶ攻撃の連鎖を報告しました。攻撃者は、Cloudflareの「あなたが人間であることを確認します」というチェックボックスを模した偽の表示を出します。利用者がそこを押すと、確認用に見せかけたコマンドがクリップボードにコピーされます。

利用者がそれをWindows TerminalかPowerShellに貼り付けると、隠されたスクリプトが動きます。画面には「Cloudflareの確認を開始します」という偽のメッセージが出ます。その裏でスクリプトが、攻撃者のサーバーから圧縮ファイルを取り込みます。

連鎖の終点で、攻撃者は感染した端末を経由して社内ネットワークに入り続けられる状態になります。Microsoftは、標的になった組織の数と攻撃者の正体を明らかにしていません。

なぜ難しい・何がすごいか

この攻撃は、端末の守りを破っていません。攻撃者は利用者に手を動かさせ、正規の操作の形で侵入します。

手口の名前はClickFixClickFix偽の修正手順や偽の認証画面を見せて、利用者自身に不正なコマンドを実行させる手口です。用語集でこの語を見るです。攻撃者は偽の修正手順や偽のCAPTCHA確認を見せて、利用者にコマンドを実行させます。

TerminalFixは誘導先を変えました。従来のClickFixが指定したのは、Windowsの「ファイル名を指定して実行」です。TerminalFixはWindows TerminalとPowerShellを指定します。

Microsoftは、ターミナルへの誘導で実行の確率が上がると説明しています。利用者は複数行のスクリプトを、気づかないまま走らせます。

もうひとつの変化は、盗んで終わらない点です。TerminalFixは情報を抜く道具を1つ置くのではなく、端末を足がかりにする道具を段階的に運び込みます。

たとえ話

玄関のインターホンに「本人確認のため、この番号を押してください」と貼り紙があります。番号を押すと、鍵は住人の手で開きます。壊された錠前はどこにもありません。

運び込まれた段ボールには絵が描かれ、中身はその絵の裏に貼り付けてあります。荷物を置いた業者は、帰り際に玄関の内側から合鍵を作ります。

用語ミニ辞典

• ClickFix: 偽の修正手順や偽の認証画面を見せて、利用者自身に不正なコマンドを実行させる手口です。
• DLLサイドローディング: 正規の署名済みプログラムに、悪意のある部品ファイルを読み込ませる手法です。
• ステガノグラフィ: 画像の中に別のデータを埋め込んで隠す技術です。ファイルの種類や中身の検査をすり抜けやすくなります。
• リバーストンネル: 感染した端末の側から攻撃者のサーバーへ接続を張り、その経路を通って外から内側へ入れるようにする接続です。
• Active Directory: Windowsのネットワークで、利用者と端末の情報をまとめて管理する仕組みです。

技術者向けの深掘り

TerminalFixの連鎖は、正規の署名済み実行ファイルに悪性のDLLを読み込ませる形で進みます。署名を持つプログラムが親になるため、実行そのものは正規の動作に見えます。

読み込まれたDLLが第2段のPowerShellスクリプトを起動し、スクリプトがPNG画像から追加の部品を取り出します。攻撃者は部品を3枚の画像に分け、1枚目から実行ファイルを、2枚目と3枚目からDLLの前半と後半を取り出して組み直します。Microsoftの研究者は、抽出後に元の画像を削除して痕跡を減らすと報告しています。

マルウェアは、レジストリと定期実行タスクの二重で常駐を確保します。偵察では、ドメインの信頼関係とドメイン管理者、Active DirectoryActive DirectoryWindowsのネットワークで、利用者と端末の情報をまとめて管理する仕組みです。用語集でこの語を見るの利用者と端末を調べます。

最後にPython製の実装が画面を出さずに動き、外向きのWebSocket接続で逆向きのトンネルを張ります。攻撃者はSOCKS形式のTCPプロキシとして被害者のネットワークを通れます。

これは自分に関係ある？

Windowsを仕事で使う人には、入口の形が関係します。Cloudflareの確認画面を装った表示が、コマンドの貼り付けを求めてきます。貼り付けた先がターミナルなら、複数行のスクリプトが一度に走ります。

社内のWindows環境を管理する人には、範囲の広さが関係します。感染は1台で止まらず、ドメイン管理者や端末の一覧まで調べられます。

Microsoftは対策として、PowerShellと「ファイル名を指定して実行」の実行制限を挙げています。日常業務でWin+Rを使わない場合は、遮断または監査を勧めています。従業員がClickFixの手口を見分けられるようにする訓練も、対策に含めています。