偽のCAPTCHA検証で情報窃取マルウェアを拡散する新ローダー「WordlistLoader」が確認される

要点

• セキュリティ企業Gen Digitalなどの調査により、新たなマルウェアローダー「WordlistLoader」および「SynkLoader」が確認された。

• 攻撃者は改ざんしたウェブサイト上で偽のCAPTCHA認証を表示し、利用者に悪意あるコマンドを実行させる「ClickFix」手法を用いている。

• WordlistLoaderは情報窃取マルウェア「Amatera」を感染させる中間段階として機能し、以前のPython製ローダーから置き換わっている。

• リモートWebDAV共有や非表示でのコマンド実行、ブロックチェーン技術を組み合わせ、セキュリティ製品による検知を巧妙に回避している。

• セキュリティ企業のGen Digitalなどの調査により、新たなマルウェアファミリ「WordlistLoader」および「SynkLoader」の活動が確認された。これらのマルウェアは後続の不正プログラムを端末に送り込むために使われており、侵入した端末へのアクセス権をランサムウェアグループなどへ販売している可能性が指摘されている。特にWordlistLoaderは、ボット排除のための認証を装う「ClickFix」手法を通じて、情報窃取型マルウェア「Amatera Stealer（別名ACR Stealer）」を配信する侵入経路の一部として機能していることが明らかになった。

偽のCAPTCHA認証で不正コマンドを実行させる手口

WordlistLoaderの感染は、「ClearFake」と呼ばれる攻撃キャンペーンを通じて行われている。攻撃者は実在する正規のウェブサイトを改ざんし、Base64形式でエンコードした悪意あるJavaScriptを埋め込んでいる。

利用者が改ざんされたサイトにアクセスすると、「私はロボットではありません」という偽の確認画面（CAPTCHA）が表示される。利用者がチェックボックスをクリックすると「ClickFix（別名FakeCaptcha）」と呼ばれる攻撃フローが進行し、悪意あるコマンドがクリップボードへ自動的にコピーされる。その上で、画面の指示によってWindowsの「ファイル名を指定して実行」ダイアログにそのコマンドを貼り付けて実行させられ、最終的にマルウェアがダウンロードされる仕組みだ。

改ざんサイトに注入されたコードは、ブロックチェーン上のスマートコントラクトから別のJavaScriptを取得して実行する「EtherHiding」技術を利用している。さらに近年のClearFakeキャンペーンでは、正規のコンテンツ配信ネットワーク（CDN）である「cdn.jsdelivr[.]net」に悪意あるPowerShellスクリプトをホストさせる手口も確認されている。CDN側で不正なリポジトリが削除されても、EtherHidingによって別のURLへと容易に切り替えられるという。

WebDAV共有と画面非表示による検知回避

ClickFixによって実行されるコマンドには、セキュリティ製品や利用者の監視をすり抜けるための工夫が施されている。

コマンドはコンソールホスト（conhost.exe）を利用し、コンソールウィンドウを表示させない「ヘッドレス（画面非表示）」の状態でコマンドプロンプト（cmd.exe）を起動する。続けて pushd コマンドでHTTPS経由のリモートWebDAV（ウェブ経由でファイルを共有・操作する仕組み）共有をマウントし、rundll32.exe を介してローダーを実行する。

Microsoftの調査によると、この一連の流れは同社が報告したACR Stealerの侵入手法と重複している。高度な攻撃バリエーションでは、環境変数の遅延展開を用いた難読化によって pushd や rundll32、接続先のリモートホスト名といった重要要素が隠蔽されており、静的解析による検出を困難にしている。

WordlistLoaderの構造とペイロードの展開

今回確認されたWordlistLoaderは、2026年4月下旬から6月中旬にかけて観測されていたPythonベースのローダーに代わって導入された。

Gen Digitalの解析によると、WordlistLoaderの主目的は、感染の中間段階として後続ステージのエントリポイントとなるシェルコード（機械語コード）を再構築することにある。「WordlistLoader」という名称は、このシェルコードが平文の英単語リストの並びとしてエンコードされて保持されている特徴に由来している。

さらに、Windowsの動作ログを追跡・記録する監視機構「ETW（Event Tracing for Windows）」による検知を回避するため、ハードウェアブレークポイントを利用した手法を実装している。これにより、システム内に不正活動の痕跡を残さずに後続処理を実行できるよう設計されている。

また、ACR Stealerに関連する攻撃では、MSHTA（HTMLアプリケーション実行ツール）を起動して外部からHTAコンテンツを実行させ、画像ホスティングサービス上のJPEG画像から抽出したペイロードをメモリ上で展開する手口も確認されており、攻撃者は解析や検知を逃れるための手法を継続的に更新している。