ClickFixとEtherHidingは、ユーザー主導のコマンド実行とブロックチェーンベースの設定機能を組み合わせたものです。ClickFixはユーザーにコマンドの実行を促す一方、EtherHidingは攻撃者がパブリックスマートコントラクトを通じて後の段階を制御することを可能にします。これらを組み合わせることで、インジケーターベースの検知や従来の妨害手法を回避する配信経路が構築されます。
主なポイント
- ClickFixは、おなじみの検証やトラブルシューティングのワークフローを、ユーザーが実行するコマンドへの道筋に変えます
- EtherHidingは、使い捨ての配信インフラストラクチャと、より永続的な構成レイヤーを分離します
- 既知のドメインをブロックしても、次の段階へと誘導する仕組みが明らかになったり無効化されたりすることはありません
- SOCチームは、複数のツールやチームに分散している証拠を結びつける必要がある
- 乗っ取られたウェブサイトは、悪意のある指示が信頼できるデジタル資産から発信されたかのように見せかける可能性があります
- FileScan.io Threat Labsの調査によると、研究者たちが実際のチェーン内でこれらの関連性をどのように追跡したかが明らかになった
ClickFixが従来のフィッシングとどう違うのか？
ClickFixとは、CAPTCHAの入力、ブラウザの問題の修正、ドキュメントの開封、あるいはアクセスに関する問題の解決などを装い、ユーザーにテキストのコピーや貼り付け、あるいはコマンドの実行を指示するソーシャルエンジニアリングの手法です。
MITRE ATT&CKでは、ClickFixを「悪意のあるコピー＆ペースト（T1204.004）」に分類しています。この手法は、ユーザーが従来の悪意のある添付ファイルを開くのではなく、攻撃者が提供したコードをコマンドやスクリプトインターフェースに直接貼り付けることに依存しています。
このやり取りは、通常のトラブルシューティングに似ている場合があります。オンライン上では、確認のメッセージ、ブラウザのエラー、アクセスチェックなどが頻繁に見られるため、攻撃者はこれらを模倣しやすいのです。防御側にとって、最も早い段階で有用な兆候となるのは、多くの場合、行動パターンです。ブラウザのセッションの後に不審なコマンドの実行が続くようなケースは、見慣れた悪意のあるファイルの存在よりも重要となる場合があります。
EtherHidingがインフラの問題をどのように変えるか
EtherHidingは、ブロックチェーンのスマートコントラクトを利用して、攻撃者が制御する設定を保存または返却します。これにより、被害者に可視化されるインフラストラクチャと、キャンペーンの次の展開先を指示するメカニズムが分離されます。防御側はドメインやホスティングアカウントを停止させることはできますが、設定レイヤーがトラフィックを代替インフラストラクチャへと誘導できる限り、チェーン全体は機能し続けます。
FileScan.io Threat Labsによる調査では、注入されたスクリプト、Polygonのスマートコントラクト、および調査中に解決されたインフラストラクチャを経由する、実際に稼働中のClickFixチェーンを追跡しました。調査報告書では、その関連性を立証した証拠、ピボット、検証プロセス、および関係性について解説しています。
セキュリティ担当者は、単に短命な悪意のあるドメインの集まりに対処しているだけではありません。一見使い捨てのように見えるインフラストラクチャの背後に潜む、持続的な関連性を特定する必要があります。
セキュリティチームやエンジニアリングチームはなぜこれを重視すべきなのか？
ClickFixやEtherHidingは、組織の境界を越えて発生しうる可視性の問題を引き起こします。Webチームは不正なスクリプトを発見し、エンドポイントセキュリティは異常なコマンドを検知し、ネットワークツールは外部へのトラフィックを記録し、脅威インテリジェンスはインフラストラクチャの一部にしか気づきません。これらのシグナルは、それぞれ単独では不完全なものに見えます。
SOCの専門家
SOCアナリストや脅威ハンターは、孤立した不審な事象と、より広範な一連の事象の一段階とを区別するために、十分なコンテキストを必要としています。課題は、単に新たなインジケーターを見つけることではなく、ブラウザ、エンドポイント、ネットワーク、ID、およびパブリックインフラストラクチャにまたがって発生するアクティビティを結びつけることにあります。
SOCのリーダーたちは、調整上の課題にも直面しています。別々のチームが証拠の異なる部分を保管している場合があるため、調査中はタイムラインの共有と責任の所在を明確にすること が重要となります。
Software エンジニアおよびWebチーム
Software また、Webチームが重要なのは、正規のデジタル資産が攻撃の媒介となり得るからです。侵害されたWebサイト、注入されたスクリプト、悪用された管理者権限により、ユーザーがすでに信頼している環境内に悪意のある指令が仕込まれる可能性があります。
したがって、Webテレメトリはセキュリティ上の証拠となり得ます。バージョン履歴、デプロイ記録、コンテンツの整合性に関するアラート、および管理ログは、不審なコンテンツがいつ出現したか、またそれがエンドポイントのアクティビティとどのように関連しているかを特定するのに役立ちます。
どの組織がより深刻な影響を受けるのか？
ClickFixは、業界固有の技術ではなくユーザーの行動を悪用するため、特定の分野に限定されることはありません。その結果、貴重な認証情報を保有している組織、顧客向けのデジタルサービスを運営している組織、機密情報を管理している組織、あるいは業務の混乱に対する許容度が低い組織ほど、その影響は甚大となります。
これには、重要インフラ事業者、政府機関、規制対象組織、ソフトウェアプロバイダー、マネージドサービスプロバイダー、および大規模または分散型の従業員を抱える企業などが含まれます。これらの分野では、ID、エンドポイント、または信頼されているウェブサイトが侵害されると、データだけでなく業務そのものが混乱を来す可能性があります。
ClickFixキャンペーンによって引き起こされる可能性のある損害の種類
ClickFixは配信手法であるため、最終的な影響はペイロードの内容や、標的となったデバイスへのアクセス権限によって異なります。最近のブログ記事では、情報窃取型マルウェアからネットワーク全体を標的とするランサムウェアに至るまでのClickFixペイロードについて解説するとともに、この手法が国家主体の攻撃者によって急速に採用された結果、SOCチームによる優先順位付けが困難になっている現状についても取り上げました。
今回のFileScan.ioに関する調査では、配信メカニズムに焦点を当てました。最終的なペイロードの帰属については言及していません。したがって、本調査では、追跡されたチェーンがランサムウェア、詐欺、認証情報の窃取、あるいはその他の特定の結果を引き起こしたことを立証するものではありません。この区別は重要です。本調査は、目に見えるインフラストラクチャが変化した場合でも、配信チェーンをどのように再構築できるかを示しています。
よく使われる防御策が見落としがちな3つの可視性のギャップ
ClickFixとEtherHidingは、人間の行動、正規のシステムツール、ウェブコンテンツ、公共インフラ、および宛先の変更といった要素に攻撃を分散させています。
特に以下の3つの可視性のギャップが際立っている：
- ユーザーの行動は、正当なトラブルシューティングのように見える場合があります。ユーザーは自発的にコマンドインターフェースを開き、提示された指示を実行する可能性があります。
- 目に見えるインフラは置き換えることができます。ブロックされたドメインは、その連鎖の一時的な構成要素にすぎない可能性があります。
- セキュリティツールには、ばらばらになった証拠が保存されています。ブラウザ、プロセス、ネットワーク、ID、およびWebサイトのイベントは、それぞれ別々のシステムに記録されることがあります。
FileScan.ioの調査はどのような新たな知見をもたらすのか？
FileScan.io Threat Labsによる調査は、ClickFixやEtherHidingに関する一般的な説明にとどまりません。本調査では、研究者たちが実際の餌（ルアー）から、それに関連するインフラやブロックチェーン上の活動へとどのように追跡を進めたかを詳述しています。
本分析では、以下の内容を網羅しています：
- 調査時点で解決された宛先までブロックチェーンのチェーンを追跡した、リアルタイムで発信・記録されたブロックチェーンの通話
- 2つの別々のウォレットに関連付けられた12件以上の関連スマートコントラクト、そしてそのパターンが、運営者がこれをどのように運用しているかについて何を示唆しているか
- 本調査以前には公に報告されていなかった、ある有名なAIブランドを装ったフィッシングメール
- まったく異なる経路を通じて、同じウォレットとコントラクトにたどり着いた2人の独立した研究者
技術的なトレースの全容と、その構成要素を結びつける証拠を精査してください。
よくある質問
ClickFixとは何ですか？
ClickFixとは、ユーザーに対し、いわゆる「修正」「確認手順」、あるいは「アクセス要件」の一環として、悪意のあるコマンドをコピー、貼り付け、または実行するよう誘導するソーシャルエンジニアリングの手法です。実行はユーザー自身によって行われるため、その発生状況は従来の悪意のある添付ファイルとは異なって見える場合があります。
EtherHidingとは何ですか？
EtherHidingとは、ブロックチェーンのスマートコントラクトを利用して、攻撃者が制御する設定情報を保存または取得する手法です。これにより、目に見えるドメインやサーバーが変化しても、攻撃キャンペーンに永続的な参照ポイントを提供することができます。
なぜ、インフラのローテーションが検知を複雑にするのでしょうか？
インフラのローテーションにより、個々のインジケーターの有効期限が短くなることがあります。防御側は、ある宛先をブロックしても、そのキャンペーンを代替先へと誘導する関係性や構成メカニズムを特定できない可能性があります。
FileScan.ioによる調査では、最終的にマルウェアを特定できたのでしょうか？
いいえ。この調査は、配信メカニズムの追跡と検証に焦点を当てたものでした。研究者たちは、最終的なペイロードの帰属については言及していません。
研究者たちは関連する契約をいくつ発見したのか、そしてそれらは運営者についてどのような事実を明らかにしているのか。
十数件以上。これは、このオペレーターのインフラが、我々が追跡した単一の契約の枠をはるかに超えて広がっていることを示すのに十分な数だ。ウォレット単位の帰属分析を含む詳細な内訳は、FileScan.io Threat Labsの記事に掲載されている。
