ClickFixキャンペーンは、GuidePoint Securityの調査によると、少なくとも31組織を侵害し、Polygonブロックチェーンを利用してマルウェアがコマンド・アンド・コントロールサーバーを特定できるようにしていた。この調査は、2026年9月1日にDark Readingが報じた。この手法はEtherHidingとして知られ、ブロックチェーンのスマートコントラクトを攻撃者が管理するアドレス帳として利用する。感染したシステムは、マルウェアの新バージョンを必要とせず、更新されたサーバーアドレスを取得できる。

この発見が示すのは、攻撃者によるブロックチェーン基盤の利用であり、Polygonプロトコルが侵害されたという報告ではない。また、マルウェアが検知不能であることを意味するものでもない。GuidePointが示した点はより限定的で、攻撃者がマルウェアに取得させる代替接続先を公開できる場合、単一のコマンド・アンド・コントロールドメインやIPアドレスを遮断しても、攻撃を恒久的に妨げられない可能性があるということだ。

侵害されたウェブサイトと偽の認証プロンプト

GuidePointのResearch and Intelligence Teamは、ブロックチェーン・フォレンジック、インシデント対応の証拠、マルウェアのソース分析に基づいて調査結果をまとめた。影響を受けた組織には、電子商取引、専門サービス、物流・小売分野の企業が含まれていた。この報告書は、企業のウェブサイトが侵害されたケースと、そのサイトで悪意のあるコンテンツに遭遇した個人を区別している。そのため、少なくとも31組織という数字を、感染したコンピューターの台数と解釈すべきではない。

GuidePointのシニア脅威インテリジェンス・コンサルタント、Jean-Pierre Mouton氏によると、攻撃者は侵害した企業ウェブサイトに悪意のあるJavaScriptを埋め込んでいた。検索エンジン汚染もキャンペーンの一部だった。訪問者が影響を受けたページにアクセスすると、ゲーティング機構によって訪問者が評価された後、偽の人間認証オーバーレイが表示された。このオーバーレイがClickFixの誘導であり、訪問者に継続に必要な手順として提示されたコマンドを実行させようとした。

認証画面が見慣れた外観をしていたこと自体が、欺瞞の一部だった。Cloudflareの認証画面に似ていることから、Cloudflare自体が侵害されたと判断することはできない。このキャンペーンでは、誘導に従うとドロッパーが実行され、ステージングサーバーに接続した。Mouton氏の説明によると、その後ステージングサーバーがコマンド・アンド・コントロールエージェントと永続化機構をインストールした。

Polygonが変化するコマンド接続先を提供

インストールされたバックドアは、現在のコマンド・アンド・コントロール接続先を取得するためにPolygonへ問い合わせた。Mouton氏は、ブロックチェーンを攻撃者が管理するアドレス帳と説明した。感染したマシン上のマルウェアが変更されなくても、接続先アドレスは変更できる。これにより、攻撃者は防御側が一度遮断できる固定アドレスから、サーバーの接続先を切り離せる。

Mouton氏によると、攻撃者は1回のトランザクションにつき1セント未満の費用で、感染したマシンを新しいサーバーへリダイレクトできた。調査では、再起動後も存続し、毎分コントローラーへビーコンを送信するバックドアについても説明されている。これらはチームが調査したマルウェアの報告上の特徴であり、Polygonを利用するすべてのプログラムが同様に動作することや、Polygonへの接続がすべて悪意のあるものであることを示すものではない。

チームがブロックチェーンへの接続を発見したのは、当初、標準的なビジネスメール侵害の調査だと考えていた事案の最中だった。永続化スクリプトがPolygonへ接続し、その後の分析と調査によってEtherHidingのインフラが明らかになった。Mouton氏はDark Readingに対し、過去のEtherHiding活動では主にBinanceやEthereumが使われており、今回のキャンペーンではPolygonのスマートコントラクトが使われた点が特徴だと述べた。

身元不明の攻撃者に関する評価

Mouton氏は、身元不明の攻撃者について、初期アクセスブローカーである可能性が高いと評価した。ただし、これは評価であり、攻撃者の身元を確認したものではない。ドロッパー、永続的なアクセス、変化するコマンド接続先の組み合わせは、同氏が説明した、より一般的なClickFixのパターンとは異なる。そのパターンでは、情報窃取ペイロードが、防御側によって遮断可能なコントローラーに依存する。

情報源は、WordPressの脆弱性の大規模な悪用など、企業ウェブサイトが侵害される可能性のある方法についても論じている。ただし、これらのインシデントで使われた特定のWordPress脆弱性は特定していない。WooCommerceとMagentoへの言及は別のMagecartキャンペーンに関するものであり、今回のClickFix調査におけるプラットフォーム一覧として扱うべきではない。

感染前後に適用できる防御策

調査に関するDark Readingの報道で、Mouton氏はClickFixやその他のソーシャルエンジニアリング手法を具体的に扱う従業員教育を推奨した。攻撃の後半でブロックチェーン基盤が使われるとしても、初期の欺瞞は依然として重要だ。訪問者に、認証と称するコマンドの実行を求めるページを認識できれば、その後の段階に進む前に攻撃を中断できる可能性がある。

技術面では、悪意のある可能性があるスクリプトに対する有効なアラートを伴うPowerShellのログ記録を推奨した。また、業務上許容される場合には、ブロックチェーン照会エンドポイントへのアクセスを制限することも推奨した。この条件は、ブロックチェーンサービスを正当に利用している組織にとって重要であり、すべての通信を無条件に禁止する勧告ではない。

Mouton氏は、このマルウェア亜種のPowerShellスクリプトにハードコードされた特定のRPCエンドポイントを遮断すれば、コントローラーへの経路を断てると述べた。これは、交換可能な単一のサーバーアドレスを遮断することとは異なる、対象を絞った防御策である。今回の報告から得られる教訓は、防御側がマルウェアによる接続先の取得方法を理解するとともに、その通信に先立つ偽のプロンプトとスクリプト実行にも対処する必要があるということだ。

出典：Blocktelegraph。