ClickFix
| 情報セキュリティと サイバーセキュリティ |
|---|
| 対象別カテゴリ |
| 隣接領域 |
| 脅威 |
| 防御 |
ClickFix（クリックフィックス）は、偽のエラー表示やCAPTCHAなどを用いて利用者を欺き、悪意のあるコマンドをオペレーティングシステムのコマンド実行機能などに貼り付けて実行させるソーシャル・エンジニアリング手法である[1][2]。攻撃では、Windowsの「ファイル名を指定して実行」やPowerShell、Windows Terminal、macOSのターミナルなど、オペレーティングシステムに備わる正規の機能が悪用される[3]。
ClickFixはマルウェアそのものではなく、利用者を欺いてマルウェアやスクリプトを実行させるための手法であり[4]、情報窃取型マルウェア（Infostealer）などの配布に利用されている[3]。
歴史
[編集]Group-IBの調査によると、ClickFixにつながる初期形態の手法は2023年10月に観測され、Cloudflareのボット対策画面を装っていた。Group-IBは、より成熟したClickFixの広範な利用が2024年8月以降に拡大したとしている[5]。
セキュリティ企業Proofpointは、ClickFixと同種の手法を2024年3月1日にイニシャル・アクセス・ブローカーのTA571による攻撃で観測し、同年4月にはClearFakeと呼ばれる活動でも確認した[6]。同社は同年4月中旬、侵害されたウェブサイト上で偽のブラウザ更新エラーを表示してコマンドの実行を促す活動クラスターを「ClickFix」と命名した[6]。
2024年11月の報告では、ProofpointはClickFixをソーシャル・エンジニアリング手法として説明し、その利用が複数の脅威アクターに拡大していると報告した[7]。2025年にはサイバー犯罪を行う攻撃者だけでなくAPTグループによる利用も報告され[5]、Proofpointは2024年10月から2025年1月にかけて、北朝鮮、イラン、ロシアに関連する国家支援型の脅威アクターがClickFixの派生形を攻撃に取り入れたとしている[8]。
2025年3月には、MITRE ATT&CKに「User Execution: Malicious Copy and Paste」（T1204.004）が追加され、ClickFixは利用者に悪意のあるコードをコピー・アンド・ペーストさせる手法の一例として記載された[9]。
手法
[編集]ClickFixを用いる攻撃では、フィッシングメール、マルバタイジング、侵害されたウェブサイトなどを経由して利用者を攻撃者が用意したページへ誘導する[3]。表示される内容は、ブラウザや文書のエラー、ソフトウェアの更新通知、人間であることを確認するためのCAPTCHAなどを装うことが多い[7][1]。
利用者がページ上のボタンなどを操作すると、ブラウザ上のスクリプトによって悪意のあるコマンドがクリップボードへコピーされる場合がある。その後、偽の問題を「修正」したり認証を完了したりするためとして、OSのコマンド実行機能やターミナルを開き、クリップボードの内容を貼り付けて実行するよう指示される[6][3]。実行されたコマンドは追加のスクリプトやマルウェアを取得・起動するために用いられ、DarkGateやLumma Stealerなどのマルウェアが配布された事例が確認されている[6][3]。
攻撃の実行に利用者自身の操作を介在させるため、悪意のある実行ファイルを直接ダウンロードさせる攻撃とは異なる経路を取り、従来型の自動的なセキュリティ対策による検知を回避する場合がある[3]。Proofpointは、ブラウザのクリップボード機能自体は正規のウェブサイトでも利用されることや、利用者がコマンドを直接実行することが検知を難しくする要因になるとしている[6]。
2025年12月、セキュリティ企業Hudson Rockは、ClickFixを配布しているウェブサイトと情報窃取型マルウェアによって漏洩した管理者認証情報を照合した結果、両者が重なる事例を確認したと報告した。同社は、情報窃取型マルウェアで盗まれた認証情報が正規のウェブサイトの侵害に利用され、そのサイトが新たなClickFixの配布元となる循環が生じていると分析している[10]。
対象プラットフォームと派生手法
[編集]ClickFixは当初、主にWindowsを対象とする攻撃で確認されたが、2025年にはmacOSを対象として、ターミナルから悪意のあるコマンドを実行させる攻撃も確認された。Microsoftは、2025年5月下旬から6月にかけて、macOS向け情報窃取型マルウェアを配布するClickFix攻撃を分析している[3]。
2026年3月、Bleeping Computerは、macOS Tahoe 26.4にClickFix型の攻撃を念頭に置いた保護機能が導入され、ターミナルへ潜在的に有害なコマンドを貼り付けようとした際に実行を保留して警告を表示するようになったと報じた[11]。Appleもその後、macOSが不審な貼り付け操作や既知のマルウェアを含むコマンドやスクリプトを検出した場合に警告を表示したり、実行を遮断したりする機能について説明している[12]。
同年4月には、Jamf Threat Labsが、applescript://というURIスキームを利用してウェブブラウザからmacOSのスクリプトエディタを起動し、ターミナルを経由せずにAppleScriptの実行へ誘導するClickFixの変種を確認したとCSO Onlineが報じた[13]。この手法では、macOS Tahoe 26.4で導入されたターミナルへの貼り付けに対する保護機能を経由せず、スクリプトエディタ上で処理を実行させる[13]。
ClickFixから派生した手法として、2025年にはWindowsのファイルエクスプローラーを利用して悪意のある内容を実行させる「FileFix」が報告された[14]。2026年には、ブラウザを意図的にクラッシュさせた後、復旧操作を装って利用者にコマンドを実行させる「CrashFix」と呼ばれる変種もMicrosoftによって報告された[15]。
対策
[編集]MicrosoftはClickFixへの対策として、偽の認証画面やエラー表示を識別するための利用者教育と、端末設定の強化を挙げており、業務上必要でない環境ではWindowsの「ファイル名を指定して実行」の利用を制限することなどを例示している[3]。MITRE ATT&CKでは「Malicious Copy and Paste」に対する緩和策として、アプリケーション制御による実行防止や、疑わしいウェブコンテンツの制限などを挙げている[9]。
NICTは、CAPTCHAやシステム障害を装った画面からOSのコマンド実行を要求されることをClickFixの特徴として説明している[1]。macOSでは、不審なウェブサイトやメッセージなどからコピーされたコマンドをターミナルへ貼り付けようとした場合に警告が表示されることがあり、Appleは内容と出所を理解できないコマンドを実行しないよう案内している[12]。
関連項目
[編集]脚注
[編集]- 1 2 3 “STARDUSTを用いたClickFix/FileFixの解析”. 国立研究開発法人情報通信研究機構 (2026年4月16日). 2026年8月29日閲覧。
- ↑ 鈴木聖子 (2025年3月26日). “その「私はロボットではありません」は本物？ マルウェア感染狙う“偽CAPTCHA”出現 米Microsoftが注意喚起”. ITmedia NEWS. 2026年8月29日閲覧。
- 1 2 3 4 5 6 7 8 Microsoft Threat Intelligence and Microsoft Defender Experts (2025年8月21日). “Think before you Click(Fix): Analyzing the ClickFix social engineering technique” (英語). Microsoft. 2026年8月29日閲覧。
- ↑ Kevin Townsend (2025年6月5日). “ClickFix Attack Exploits Fake Cloudflare Turnstile to Deliver Malware” (英語). SecurityWeek. 2026年8月29日閲覧。
- 1 2 Ionut Arghire (2025年3月14日). “ClickFix Widely Adopted by Cybercriminals, APT Groups” (英語). SecurityWeek. 2026年8月29日閲覧。
- 1 2 3 4 5 Tommy Madjar, Dusty Miller, Selena Larson and the Proofpoint Threat Research Team (2024年6月17日). “From Clipboard to Compromise: A PowerShell Self-Pwn” (英語). Proofpoint. 2026年8月29日閲覧。
- 1 2 Tommy Madjar, Selena Larson and The Proofpoint Threat Research Team (2024年11月18日). “【脅威レポート】ClickFixソーシャル・エンジニアリング手法の蔓延”. Proofpoint. 2026年8月29日閲覧。
- ↑ “90日間世界一周：国家に支援された攻撃者がClickFixを試す”. Proofpoint (2025年4月17日). 2026年8月29日閲覧。
- 1 2 “User Execution: Malicious Copy and Paste, Sub-technique T1204.004” (英語). MITRE ATT&CK. 2026年8月29日閲覧。
- ↑ Hudson Rock Threat Intelligence (2025年12月30日). “From Victim to Vector: How Infostealers Turn Legitimate Businesses into Malware Hosts” (英語). InfoStealers. 2026年8月29日閲覧。
- ↑ Bill Toulas (2026年3月30日). “Apple adds macOS Terminal warning to block ClickFix attacks” (英語). BleepingComputer. 2026年8月29日閲覧。
- 1 2 “If your Mac blocks a Terminal command paste or script” (英語). Apple (2026年6月29日). 2026年8月29日閲覧。
- 1 2 Shweta Sharma (2026年4月9日). “New ClickFix variant bypasses Apple safeguards with one-click script execution” (英語). CSO Online. 2026年8月29日閲覧。
- ↑ Ionut Arghire (2025年7月14日). “New Interlock RAT Variant Distributed via FileFix Attacks” (英語). SecurityWeek. 2026年8月29日閲覧。
- ↑ Microsoft Defender Security Research Team (2026年2月5日). “New Clickfix variant ‘CrashFix’ deploying Python Remote Access Trojan” (英語). Microsoft. 2026年8月29日閲覧。