100件超の改ざんサイトで偽Cloudflare認証を悪用、マルウェア「LunexStealer」の感染手口が判明

要点

• ウクライナのCERT-UAが、100件以上の改ざんウェブサイトを通じて情報窃取マルウェア「LunexStealer」を拡散する攻撃を確認した。
• 検索経由で訪れたWindows利用者に偽のCloudflare画面を見せ、手動でコマンドを実行させる「ClickFix」手法が悪用されている。
• ブロックチェーンのスマートコントラクトを利用して設定を隠す「EtherHiding」や、脆弱なAMD製ドライバーを悪用した防御回避が組み込まれていた。
• 感染後は「Microsoft Office Word Editor」を装う不正ブラウザ拡張機能などを通じ、認証情報や端末内のファイルが窃取される。

攻撃キャンペーンの概要

ウクライナのコンピュータ緊急対応チーム（CERT-UA）は2026年10月、悪意あるJavaScriptが挿入された100件以上の改ざんウェブサイトを特定し、情報窃取型マルウェア「LunexStealer」を拡散する攻撃を観測したと発表した。この活動は「UAC-0277」と命名された脅威クラスターによるもので、2026年9月に確認されたという。なお、具体的な被害対象や侵害の成否について同機関は明らかにしていない。

偽の認証画面とClickFixによる誘導

CERT-UAのアドバイザリによると、改ざんサイトへの訪問者には、人間によるアクセス確認を装った偽のCloudflare検証画面が表示される。利用者が指示通りにコマンドを実行すると、外部サーバーから悪意あるMSIパッケージがダウンロード・導入される仕組みだ。利用者を誘導して手動実行させるこの手口は「ClickFix」と呼ばれている。

本攻撃では、偽画面の読み込み元ドメインや動作設定をPolygonやEthereumのスマートコントラクトから取得する「EtherHiding」技術も用いられている。スクリプトの動作モードには「0（非アクティブ）」「1（訪問者情報の受動的収集）」「2（偽画面の表示）」の3種類があり、モード2は検索エンジン経由のWindows利用者に限定して12時間以内に最大2回まで表示されるよう制御されていた。

侵入に用いられる3種類のMSIパッケージ

ClickFixにより配布されるMSIパッケージには、少なくとも3つのバリアントが確認されている。

「バリアント1」は、LunexStealerを端末に直接インストールする形態だ。「バリアント2」はユーザーアカウント制御（UAC）の回避やMicrosoft Defenderの除外設定を試み、正当だが脆弱なAMDドライバー「PDFWKRNL.sys」を悪用してセキュリティソフトを無力化した上で、遠隔からマルウェアを取得・実行する。「バリアント3」は正規バイナリ「FnHotkeyUtility.exe」を使い、DLLサイドローディング（正当なプログラムに悪意あるDLLを読み込ませる手法）により不正DLL「spkvol.dll」を読み込んでマルウェアを復号・実行する。

不正拡張機能「LUNARAXE」と連携コンポーネント

LunexStealer（別名 Psychedelic Stealer）は感染後、「LUNARAXE」という悪意あるブラウザ拡張機能を導入する。この挙動はセキュリティ企業のArctic Wolf LabsやOntinueの調査でも報告されている。

同拡張機能は「Microsoft Office Word Editor」に偽装し、Cookieや閲覧履歴、入力フォームの認証情報を窃取するほか、ブラウザの遠隔操作やスクリプト実行を行う。内部はC2（指令）サーバーとの通信やタブ制御を担う「LUNARAXE.CORE」、フォーム情報を集める「LUNARAXE.STEALER」、HTTPレスポンスからコンテンツセキュリティポリシー（CSP）ヘッダーを削除して保護を無力化する「LUNARAXE.STRIP」で構成される。

さらに、C2サーバーの指示で展開される補助コンポーネント「NAIVEMESS」は、PowerShellを用いたNative Messaging Host（拡張機能とローカル環境を連携させる仕組み）を介し、LUNARAXEにローカルファイルへのアクセス権を与える。ドライブ列挙やファイルの読み書き・実行が可能で、データはZIP圧縮とBase64エンコードを経て分割転送される。なお、このコンポーネント自体は独立したC2通信路を持たず、拡張機能を経由して指示を受け取る。

CERT-UAが提示する推奨対策

CERT-UAは組織に対し、グループポリシーによる一般ユーザーの「ファイル名を指定して実行」ダイアログ利用の禁止や、管理者権限を持たないユーザーによるMSIパッケージ導入の制限、「msiexec.exe」実行の監視を求めている。あわせて、Microsoft推奨リストに基づく脆弱なドライバーのブロックや、ブラウザ拡張機能の許可リスト化による制限を推奨している。