PolygonのスマートコントラクトでC2を切り替える新種RAT「ChainScript」が確認される　ClickFix手法による感染も拡大

要点

• セキュリティ研究者が、Polygonブロックチェーンを利用してC2サーバーを動的に特定・切り替える新たなRAT「ChainScript」を発見した。

• 攻撃者はClickFix手法や正規ソフトウェアを装ったインストーラーを使い、Node.jsランタイムと悪意あるスクリプトを端末へ展開している。

• 感染した端末ではコマンド実行やファイル操作、画面キャプチャ、暗号資産ウォレットの探索など広範な遠隔操作が行われる。

• 認証済みRedditアカウントが悪用された「PasteSwitch」キャンペーンなど、ClickFixを悪用したマルウェア配布が活発化しており、日本を含む複数国で被害が確認されている。

• サイバーセキュリティ企業のBlackpoint Adversary Pursuit Group（APG）の研究者らは2026年9月21日、Polygonブロックチェーンのスマートコントラクトを悪用してC2インフラを特定・切り替える未確認のリモートアクセス型トロイの木馬（RAT）「ChainScript」に関する調査結果を公表した。

• ChainScriptは、ユーザーを騙して悪意あるコマンドを実行させる「ClickFix」と呼ばれるソーシャルエンジニアリング手法などを通じて配布されている。攻撃者は正規の企業アカウントを乗っ取った広告配信や検索結果の偽装など多岐にわたる手口を併用しており、WindowsおよびmacOS環境を標的とした感染活動が確認されている。

ブロックチェーンをC2アドレス解決に悪用する「ChainScript」

Blackpoint APGの研究者であるSam Decker氏、Andi Ursry氏、Nevan Beal氏によると、ChainScriptは「ComponentTask33」「UpdateDigital」「HostShared」「OrchidViolet66」といった複数のビルド名で確認されており、Spotify、Zoom Workplace、Microsoft Teamsといった知名度の高いソフトウェアを装って侵入を試みる。

本マルウェアの大きな特徴は、近年のマルウェアで観測されている「EtherHiding」と呼ばれる技術に類似したC2（マルウェアへ指示を送る指令サーバー）発見手法を採用している点にある。ChainScriptはPolygonブロックチェーン上のスマートコントラクト（プログラムを自動実行する仕組み）を参照し、アクティブなWebSocket通信用C2インフラの接続先を特定する。

Blackpointは、「バックエンドの検知メカニズムをマルウェア本体から分離し、Polygonコントラクトを外部リゾルバ（名前解決役）として利用することで、攻撃者はマルウェア本体や再接続フローを変更することなく、感染端末の接続先を新しいインフラへ自在にリダイレクトできる」と説明している。これにより、従来のIPアドレスやドメインに基づくセキュリティ検知やテイクダウン（差し押さえや閉鎖）の回避を容易にしているという。

多機能な遠隔操作機能と多段階の感染プロセス

ChainScriptは機能が豊富に備わったRAT（遠隔から端末を不正操作するためのマルウェア）であり、攻撃者に対して極めて広範な制御権限を提供する。具体的には以下の機能が組み込まれている。

• 対話型のCMDおよびPowerShellの実行
• ファイルの送受信や変更などの操作
• スクリーンショットの撮影
• 追加ペイロード（不正プログラム）の展開
• デスクトップアプリおよびブラウザ拡張機能における暗号資産ウォレットの探索
• リモートからのJavaScript実行
• マルウェア自身のアップデートおよび永続化設定の削除

攻撃の起点となるのはClickFixの手口であり、Windows標準のインストーラー実行機能「msiexec.exe」を用いて悪意あるMSIファイル（例: ComponentTask33-4d14e6ac.msi）をダウンロード・実行させる。このインストーラーはSpotifyを偽装しており、内部に含まれるNode.jsランタイムを展開した上で、隠蔽されたPowerShellとVBScriptを介してJavaScriptで書かれたChainScriptエージェントを起動する。

PowerShellスクリプトは、ランタイムやエージェントのソースコード、設定ファイル、補助バイナリを、システムフォルダ「%LOCALAPPDATA%」配下のMicrosoft製品に見せかけたパスへ分散して配置する。その後、VBScriptがメインランチャーとしてエージェントを立ち上げる。実行されたエージェントは、タスクスケジューラによる定期タスク登録を行い、フォールバックとしてWindowsレジストリのRunキーを使用することで、ユーザーレベルでの永続化を確立する。最終的にWebSocket経由でC2サーバーと通信を確立し、攻撃者からの指示を待ち受ける状態を構築する。

認証済みRedditアカウント乗っ取りなどClickFix被害の拡大

ChainScriptの公表と前後して、ClickFix手法を用いた情報窃取マルウェアの大規模な配布活動も報告されている。セキュリティ企業のHudson RockおよびADAMnetworksは、米動画配信サービス「HBO Max」の公式Redditアカウント（u/hbomax）が何者かに侵害され、悪質な広告を通じてClickFix攻撃を仕掛ける「PasteSwitch」と名付けられた作戦を確認した。

攻撃者は乗っ取った公式アカウントを用いて、2026年9月中旬の48時間で計108件の悪意ある広告を配信した。アカウント侵害の経緯や実際の被害端末数は判明していないものの、認証済み企業アカウントへの信頼を利用してユーザーの警戒心をすり抜ける狙いがあったとされる。

PasteSwitchによって配布されたマルウェアはOSごとに異なり、以下の内訳となっている。

• macOS環境: 情報窃取マルウェア「MacSync」「Atomic macOS Stealer（AMOS）」、および復元フレーズ窃盗を目的とした偽の暗号資産ウォレットアプリ
• Windows環境: 情報窃取マルウェア「Amatera Stealer」、およびクリップボード上の暗号資産アドレスを書き換えるクリッパー（「AnimateClipper」「ZigClipper」）

セキュリティ機関のSeqrite Labsが共有したデータによると、MacSyncの感染は米国に最も集中しており、次いで英国、ドイツ、日本、カナダ、フランス、シンガポール、オーストラリア、インド、オランダで確認されている。同社の研究者Chandra Kant Bauri氏は、macOSが企業で広く普及している地域や、ソフトウェア開発部門、Web3および暗号資産コミュニティが活発な領域が主な標的になっていると指摘している。

また、検索結果に表示された偽のCodexダウンロード案内からGoogle Sites上の不正ページへ誘導し、macOS利用者にターミナルへ悪質なコマンドを貼り付けさせてAtomic Stealerを実行させる事例も確認されている。このキャンペーンでは、Mac以外の端末からアクセスした訪問者に対しては無害なおとりページを表示し、分析や検知を困難にする工作が施されていた。