サイバーセキュリティ企業のCheck Point Researchによると、約2,000件の侵害されたWordPressウェブサイトが、マルウェアの配布、データの窃取、被害者の監視、ランサムウェアの展開のための犯罪インフラとして転用されていた。同社は火曜日に公開したレポートでこの調査結果を詳述した。

研究者らは5月中旬にStopAndProtectランサムウェアファミリーを初めて特定し、その後、それがはるかに大規模な作戦にさかのぼることを突き止めた。乗っ取られたウェブサイトは複数の機能を果たしており、マルウェアのペイロードをホストし、感染したコンピューターにコマンドを中継し、窃取した文書、スクリーンショット、アクティビティログを保管していた。侵害された正当なサイトが犯罪インフラとして重宝されるのは、まさに信頼できるように見えるからである。確立されたドメインへの接続は、既知の悪意あるサーバーへの通信よりもブロックされにくい。また、W3Techsの継続的なウェブ技術調査によれば、WordPressは全ウェブサイトの40%超を支えるプラットフォームであり、その巨大なフットプリントゆえに、こうした悪用の背景として繰り返し登場している。

「この作戦は単一のマルウェアに依存しているのではなく、連携して動作する犯罪ソフトウェアのツールキット全体に依存している」とCheck Pointの研究者Jaromír Horejsiは記した。「一部のコンポーネントはファイルを暗号化し、他のものは密かに文書を窃取したり画面をロックしたりし、さらに別のものは攻撃者と被害者の間のライブチャットとして機能する」

Check Pointによると、このマルウェアはWindowsユーザーを標的とし、侵害されたウェブサイトに表示される偽のCAPTCHAから始まる。ClickFixのプロンプトは被害者に対し、資格情報や暗号資産ウォレットのシードフレーズの窃取、ネットワークやUSBドライブ経由での拡散、画面のロック、ランサムウェアの展開が可能なマルウェアをインストールするPowerShellコマンドを実行するよう指示する。レポートでは、macOSおよびLinuxユーザーが影響を受けるかどうかには言及されていない。

この攻撃チェーンは、被害者がすでに持っているツールに依存している。ユーザー自身がPowerShellコマンドを貼り付けて実行するため、従来のドライブバイダウンロードであれば阻止するであろうブラウザの保護機能を回避できる。さらに、オペレーティングシステムに既定でインストールされているWindows管理ユーティリティであるPowerShellは、実際の侵害において最も頻繁に悪用されるツールの一つであり続けている。

しかし同社によると、攻撃者自身のミスにより、Check Pointの研究者らはこの作戦の内部を異例の深さで把握することができた。

「開発者の運用セキュリティ(OPSEC)の失敗により、被害者のマシンからの詳細な感染ログ、感染したコンピューターのスクリーンショット、犯罪者が侵害されたウェブサイトを一括管理するために使用するツールのソースコードなど、多数のファイルが露出した」とHorejsiは記した。

7月24日までに、このキャンペーンは6,000を超える一意のIPアドレスを侵害しており、そのうち1,852が米国、ロシアとインドでそれぞれ630であった。露出したディレクトリには、感染ログと被害者のコンピューターから撮影されたスクリーンショットが含まれていた。研究者らによると、5月中旬から7月末までの間に31,000枚を超えるスクリーンショットと、文書、パスワード、暗号資産ウォレットファイルを含む窃取データのアーカイブ700超を収集できたという。

Check Pointは、この脅威アクターが自分自身のマルウェアにも誤って感染したとみている。

「被害者のマシンから流出した数百のファイルを収集したが、そのうちの1事例では脅威アクターが自分自身に感染したと考えられる。1つのアーカイブに、不審な内容を含むいくつかの異常なファイルが入っていたからだ」とHorejsiは記した。「このことは、このアクターがどのように活動し、どれだけの侵害ドメインを支配している可能性があるかをよりよく理解するのにも役立つ」

ClickFix詐欺は今年、他の複数のマルウェアキャンペーンでも出現している。5月には、FBI長官のKash Patelに関連するアパレルウェブサイトが、macOSの訪問者がClickFixマルウェアの標的にされたと報じられた後、オフラインにされた。ユーザーは、ブラウザデータ、セッショントークン、暗号資産ウォレットを標的とし得るインフォスティーラーをインストールするコマンドをターミナルに貼り付けるよう促された。

7月には、Jamf Threat Labsが、X上のスポンサー広告を通じてClickFix型マルウェアが配布されていることを発見した。この広告はユーザーをウェブサイトにリダイレクトし、ターミナルを開いてAtomicインフォスティーラーの亜種をインストールするコマンドを実行するよう指示していた。

8月には、Microsoftの研究者らが、ハッカーが侵害されたウェブサイトとBNB Chainのスマートコントラクトを使用し、偽のCAPTCHAを通じてマルウェアを配布していると警告した。

これらすべてのキャンペーンに共通する実践的な防御策は同じであり、技術的なスキルを必要としない。本物のCAPTCHA認証が、ユーザーにターミナルを開いたりコマンドを実行したりするよう求めることは決してない。Check Pointの調査結果は、問題のもう一面も指摘している。WordPress上に構築された数百万のサイトの所有者にとって、乗っ取られたページは単に自らの資産への侵害であるだけでなく、訪問者とより広いインターネットに対して向けられたインフラの一部でもあるのだ。