犯罪者がプレースホルダードメインをClickFixの罠に悪用する

ソフトウェアのドキュメント、コード例、開発者テスト資料に長年登場してきたドメインが、現在ClickFix攻撃を仕掛けるために利用されている。 Windows ユーザー。

プレースホルダードメインは、例えばウェブサイトの代わりとなるものです。最もよく知られているのはおそらく example.com。別の、 third-party[.]comは、外部のウェブサイト、API、またはサービスを表すためにドキュメントでよく使用されます。

しかし、両者には非常に重要な違いがある。 example.com は文書用に予約されていますが、 third-party[.]com これはごく普通のドメインです。誰でも登録できるもので、実際に誰かが登録しました。このドメインをハードコーディングしたすべての文書、テスト、スキルは、読者やユーザーを攻撃者のインフラストラクチャへと誘導することになります。

Manifold Securityの研究者たちは、それ third-party[.]com 偽のCloudflareスタイルの検証ページを配信していたWindows 訪問者。このページは、訪問者にWindows 実行ボックスを開き、クリップボードにコピーしたコマンドを貼り付けます。このコマンドは、ダウンロードして実行するように設計されています。 PowerShell スクリプト。この記事を書いている時点では、スクリプトをホストしているドメインは解決されていません。

ClickFixは、被害者をマルウェアのインストール者に仕立て上げるソーシャルエンジニアリングの手法である。

攻撃者は、悪意のある添付ファイルや明らかな実行ファイルのダウンロードに頼るのではなく、相手にコマンドを自分で実行させるように仕向けます。よくある誘い文句は次のとおりです。

偽のCAPTCHAまたはCloudflare Turnstileチェック。
「手動で修正する必要がある」と表示されるブラウザのエラー。
偽のビデオプレーヤー、ドキュメントビューア、または人気ソフトウェアのダウンロード。
訪問者に「ファイル名を指定して実行」、「コマンドプロンプト」、「ターミナル」、または「PowerShell」にコマンドを貼り付けるよう指示する、サポート詐欺ページ。

ClickFix が機能するのは、コマンドが正当なWindows またはMac 次の段階をダウンロードして実行するためのツール。また、参加を促された人物の権限で実行されます。

その結果は、情報窃盗から企業ネットワークのより深刻な侵害まで多岐に渡ります。TerminalFixと呼ばれる最近のキャンペーンでは、偽の Cloudflare CAPTCHA が被害者を誘導し、PowerShell コマンドを貼り付けさせました。 Windows ターミナルまたはPowerShell。

安全に過ごすには

クリックフィックスが猛威を振るっている現状——そして近いうちに収まる気配もない——警戒心を持ち、注意深く、そして身を守ることは重要です。

落ち着いてください。特にカウントダウンなどのプレッシャーをかけるような手法を用いて、デバイス上でコマンドを実行するよう促すウェブページには注意してください。
信頼できないソースからのコマンドやスクリプトは実行しないでください。ウェブサイト、メール、メッセージからコピーしたコードやコマンドは、ソースを信頼し、その動作の目的を理解している場合を除き、決して実行しないでください。指示は独自に確認してください。ウェブサイトでコマンドの実行や技術的な操作を指示された場合は、実行する前に公式ドキュメントを確認するか、サポートに問い合わせてください。
貼り付ける内容を確認してください。ウェブサイトによっては、コマンド全文を表示せずにクリップボードにコピーされる場合があります。コマンドウィンドウに直接貼り付けないでください。
デバイスを保護してください。 最新かつリアルタイムのマルウェア対策ソリューションウェブ保護機能を搭載。
進化する攻撃手法について学びましょう。攻撃が予期せぬ経路から発生し、進化し続ける可能性があることを理解することが警戒心を維持する助けとなります。引き続き当ブログをご覧ください！