偽エラーでコマンド実行を誘う「ClickFix」悪用、情報窃取マルウェア「ACR Stealer」の活動急増をMicrosoftが警告

要点

• Microsoftは、ブラウザの不具合などを装ってコマンドを実行させる「ClickFix」手法を用いた情報窃取マルウェア「ACR Stealer」の活動急増を警告した。
• 侵入経路には、メモリ内だけで実行される「ファイルレス」と、ディスクに偽装ファイルを書き込む「WebDAV経由の実行」の2つのチェーンが確認されている。
• ファイルレスのケースでは、画像ファイルのピクセルデータにマルウェア本体を埋め込んで検知を回避する巧妙な仕組みが取られていた。
• 初期誘導には、AIアシスタント「Claude」の偽の配布ページや悪意あるGoogle広告、GitLab上の偽ページなどが悪用されている。
• Microsoftは対策として、パスワードの変更だけでなく、流出した可能性のある古い認証トークンの無効化（リボーク）を強く推奨している。

リード文

米Microsoftのセキュリティ部門であるDefender Expertsチームは、偽の不具合画面などを表示して特定の操作を促す「ClickFix」手法を使い、Webブラウザの資格情報や機密ファイルを盗み出すマルウェア「ACR Stealer」の活動が急増していると公表した。同チームによると、この感染キャンペーンは2026年4月後半から6月中旬にかけて顧客の企業ネットワーク内で増加していることが確認されたという。ACR Stealerは、保存されたパスワードや稼働中のセッション用トークン、PDFファイル、OneDriveやSharePointの同期フォルダ内のデータを窃取する機能を持つ。

本文

偽エラーでユーザーを騙す「ClickFix」の手口

ACR Stealerは2024年から流通している情報窃取型（インフォスティーラー）マルウェアである。攻撃者は、Webサイト上にブラウザやシステムの不具合が発生したかのようなポップアップ（ClickFix）を表示し、解決のために特定のコマンドを実行（Run）ボックスに貼り付けてEnterキーを押すよう指示する。この単純な操作によって、マルウェアがシステムに侵入してしまう。

誘導経路には、不正なオンライン広告や、検索結果を操作するSEO改ざんが使われている。Microsoftは、実行されたコマンド以降の挙動として、特徴の異なる2つの感染経路（侵入チェーン）を詳しく説明している。

メモリ内で動作を完結させる「ファイルレス」チェーン

1つ目の侵入チェーンは、パソコンのストレージ（ディスク）に痕跡を残しにくく、メモリ内だけで処理を行う「ファイルレス」と呼ばれる手法である。

コマンド実行により起動したWindows標準のツール「mshta.exe」が、リモートのHTA（HTMLアプリケーション）ファイルを取得し、スクリプトローダーを経由してPowerShellを起動する。これにより、メモリ上で被害者IDの割り当てや証明書検証の無効化が行われる。

次に、画像ホスティングサービスからダウンロードされたJPEG画像のピクセルデータ内から、暗号化・圧縮されたマルウェア本体（ペイロード）が切り出され、メモリ上で復号・展開されて直接実行される。

実行されたマルウェアは、ChromeやEdgeのデータベースを読み込み、Windowsのデータ保護機能「DPAPI」を通じてパスワードやCookie、セッション用トークンを復号して窃取する。デスクトップなどのPDFや、OneDrive、SharePointの同期フォルダ内にあるドキュメントも標的となる。

この手法に関連し、セキュリティ研究者のBrad Duncan氏は5月26日、AIアシスタント「Claude」の偽配布ページ（Google広告や sites.google.com 経由）から侵入する感染事例を報告した。Red Canaryも4月に、GitLab上の偽のClaude Code配布ページから同マルウェアが配信された件を報告しており、これらはMicrosoftが公表した侵入経路と一致している。

ディスクに痕跡を残す「WebDAV」悪用チェーン

Microsoftが公開したもう1つの侵入チェーンは、ストレージへ一時ファイルが書き込まれるため、防御側での検知や解析が比較的しやすい特徴を持つ。

このケースでは、コマンドによってHTTPS経由で「WebDAV」（ネットワーク共有の規格）サーバーから直接DLLファイルを読み込む。ファイル名には「google.ct」など正規ファイルを装った名前が使われる。

実行時のコンソール画面を完全に非表示にするオプション（conhost.exe --headless）や、一時的にリモートフォルダをローカルにマウントするコマンド（pushd）を用いて、ローカルから実行されているように見せかける工作が行われる。

その後、難読化されたPowerShellが一時フォルダ内に「LogiOptionsPlus」などの名称でZIPファイルを展開。同梱されたPython実行環境（pythonw.exe）でスクリプトを動かすため、画面上には何も表示されない。さらに非表示のタスクスケジューラへ登録し、システムの再起動後も動作を維持する仕組みを構築する。

補足

Microsoftは今回の攻撃に対する推奨策として、流出した可能性のあるアカウントのパスワード変更（ローテーション）だけでは不十分だと指摘している。攻撃者がすでにCookieやセッションキーなどの認証トークンを悪用してアクセスしている可能性があるため、システム管理者はそれらのアクティブな認証トークン自体を直ちに無効化（リボーク）する必要があるとしている。