ブラウザキャッシュ悪用でWindowsの文字数制限を回避する「ClickFix」攻撃、米マイクロソフトが報告

要点

• 被害者にコマンドを実行させる「ClickFix」攻撃において、ブラウザのキャッシュ領域を悪用する新手口が確認された。

• 改ざんサイトが画像ファイル（PNG）に偽装した悪意あるスクリプトを、事前にブラウザキャッシュへ保存させる。

• 保存済みキャッシュを参照することで、Windowsの「ファイル名を指定して実行」にある約260文字の入力制限を回避する。

• 最終的に正規プロセス「timeout.exe」へコードが注入され、端末やブラウザの認証情報窃取が試みられる。

• ClickFixは近年急増しており、過去にはAI要約機能を悪用して指示を出力させる実証例も報告されている。

• 米マイクロソフトの脅威インテリジェンスチーム（Microsoft Threat Intelligence）は2026年10月6日、ソーシャルエンジニアリング攻撃「ClickFix」において、ブラウザのキャッシュ領域を悪用して悪意あるコードを実行させる新たな手口を確認したと公表した。改ざんされたWebサイトを通じて画像に偽装したスクリプトを事前にキャッシュへ保存させ、端末内のデータを実行させる仕組みだという。この手法により、外部からの直接ダウンロードを隠蔽するとともに、Windowsの「ファイル名を指定して実行」機能に存在する入力文字数の制限を回避していることが明らかになった。

キャッシュ事前保存によるスクリプト隠蔽と文字数制限の回避

ClickFix（クリックフィックス）とは、Webサイト上で偽のエラー画面などを表示して修復手順を装い、ユーザー自身に悪意あるコマンドをコピー＆ペーストさせて実行させるソーシャルエンジニアリング（人間の心理的な隙を突く攻撃手法）である。通常は外部サーバーから不正なスクリプトをダウンロードさせるコマンドを実行させる手口が一般的だった。

しかしマイクロソフトによると、今回の攻撃では改ざんサイトがあらかじめスクリプトを画像ファイル（PNG形式）に偽装し、ブラウザキャッシュ内へ事前に読み込ませておく仕組みを採用していた。ユーザーが指示通りにコマンドを実行した際には、外部から新たに落とすのではなく、端末内にすでに保存されているキャッシュデータが呼び出される。

この「ブラウザキャッシュスマグリング」と呼ばれる手法は、スクリプトの隠蔽に加え、Windowsの「ファイル名を指定して実行（Windows Run）」ダイアログの仕様制限を回避する狙いがある。「Win + R」キーで起動する同ダイアログには、入力が約260文字を超えると切り捨てられる制限が存在する。攻撃者はキャッシュを参照する短いコマンドを実行させることで、この文字数制限を突破していたという。

多段階の攻撃チェーンと正規プロセスへの不正コード注入

マイクロソフトが観測した攻撃チェーンでは、ブラウザキャッシュに配置されたVisual Basic Script（VBScript）が起点となる。このVBScriptは「cmd.exe」を呼び出し、Firefoxなどのブラウザプロファイルフォルダ（「%LOCALAPPDATA%\Mozilla\Firefox\Profiles」など）から、ファイル名が「f_」で始まるキャッシュファイルを再帰的に探索する。

探索ではファイル内の目印を探すのではなく、各ファイルのバイト長を想定値と比較する。サイズが合致したキャッシュファイルを「%LOCALAPPDATA%\Temp\t.vbs」へコピーして拡張子を付与し、「wscript.exe」で実行する仕組みだ。画面へのエラー出力などは抑制されており、照合用のサイズは亜種ごとに異なるという。

実行されたVBScriptは、システム管理機能「WMI（Windows Management Instrumentation）」経由でホスト情報を収集した上で、外部サーバー「cocojambo[.]us[.]com/alfa」からPowerShellスクリプト「v.ps1」を取得・起動する。これが中間ペイロードとなり、次段階のファイル「cab.dat」をダウンロードする。

「cab.dat」が非表示ウィンドウで実行された後、メモリ上の.NETアセンブリがWindowsの正規プロセス「timeout.exe」へコードインジェクション（不正コードの注入）を行い、ブラウザや端末の認証情報窃取を試みる。さらに、このプロセスは「capsysnet[.]vg」から二次ペイロードを取得し、「ciliabula[.]cc」宛てに外部通信を開始するという。

ClickFix攻撃の急速な拡大とAI要約機能を悪用した事例

ブラウザキャッシュにペイロードを配置する手口は今回が初ではない。2025年10月にはセキュリティ企業のExpelが、キャッシュスマグリングを用いて不正なZIPアーカイブを配信する手口を報告していた（後にIntrinsecによるレッドチーム演習と判明）。ClickFixは過去2年間で急速に普及した手法であり、ユーザー自身を実行経路に変えてしまう性質から、サイバー犯罪者や国家支援型攻撃者に広く悪用されている。

また、2025年8月にはCloudSEKが、AI（人工知能）要約システムを悪用してClickFix経由でランサムウェアを配信する概念実証（PoC）を公開していた。ゼロ幅文字や白文字などのCSS難読化を用いて人間に見えない形でHTML内にペイロードを埋め込み、AIだけに認識させる。さらに「プロンプトオーバードーズ（過剰注入）」によってペイロードを数十回繰り返してAIモデルの文脈枠を支配し、AIが生成する要約文の中に攻撃者のClickFix指示を出力させることが可能であると実証されていた。