偽のエラーで実行を迫る「ClickFix」を悪用、新型マルウェア「TELEPUZ」の脅威が判明

要点

• 米セキュリティ企業のElastic Security Labsが、2026年4月下旬から発生している新型のモジュール型マルウェア「TELEPUZ」の感染拡大について警告した。

• 本マルウェアは、ブラウザのエラー解決やCAPTCHA認証を装ってユーザーに不正コマンドを実行させるソーシャルエンジニアリング手法「ClickFix」を悪用して拡散している。

• TELEPUZはC言語で開発された軽量なモジュール式マルウェアで、頻繁なアップデートが行われており、マルウェア・アズ・ア・サービス（MaaS）として流通している可能性が高い。

• 解析を回避するための多種多様な難読化処理や仮想環境の検知機能、Windowsの各種セキュリティ監視機能を無効化する仕組みを備えている。

• 感染の最終段階では、COM技術などを利用して管理者権限の取得を試み、C2サーバーとの通信ループを開始する。

• 米国のセキュリティ企業であるElastic Security Labsは2026年7月16日、偽のエラー解決を装ってユーザーに不正なコマンドを実行させる「ClickFix（クリックフィックス）」の手法を悪用し、情報を窃取して遠隔コマンドを実行する新型マルウェア「TELEPUZ（テレパズ）」が拡散していると発表した。同社のテクニカルレポートによると、このマルウェアは2026年4月下旬から感染の拡大が確認されており、現在も活発な開発と更新が行われているという。

ユーザーをだまして実行させる「ClickFix」の巧妙な感染ルート

TELEPUZの感染拡大には、近年猛威を振るっているソーシャルエンジニアリング（人間の心理的な隙を突く攻撃手法）である「ClickFix」が用いられている。ClickFixは、感染したWebサイトにアクセスしたユーザーに対し、偽のブラウザエラーやソフトウェアの更新、あるいはCAPTCHA（ボットではないことを確認する認証）の検証画面などを表示してだます手口である。

具体的には、画面上の指示に従うよう促し、悪意あるコマンドをクリップボードにコピーさせ、それをPowerShell（パワーシェル：Windowsの管理コマンドラインツール）に貼り付けて手動で実行させる「ペーストジャック」と呼ばれる仕組みを利用する。

ユーザーがコマンドを実行すると、PowerShellを介して外部のURLから第2段階のペイロードがダウンロードされる。このペイロードは、感染端末から情報を窃取するマルウェアである「Vidar Stealer」のGo言語バリアントである。Vidar Stealerは端末内のデータを収集したのち、さらにTELEPUZの本体を起動するためのステージャ（仲介用）バイナリを配備する。このステージャおよびTELEPUZのメインDLL（動的リンクライブラリ）ファイルである「telepuz.dll」は、ドメイン「hurgadatour[.]shop」から取得され、最終的にWindowsの正規ツールである「rundll32.exe」を使って実行される流れとなっている。

高度な分析妨害機能を備えたC言語製マルウェア

TELEPUZはC言語で記述された軽量なマルウェアである。Elasticの調査では、VirusTotal（セキュリティ分析プラットフォーム）への日々のビルドのアップロード数や、アップデートの頻度から、TELEPUZがMaaS（マース：Malware-as-a-Service、攻撃者がマルウェアの基盤を有償提供するビジネスモデル）として提供され、活発に開発が進められていると指摘されている。

本マルウェアは、セキュリティアナリストによるコード解析を妨害するため、以下のような複数の高度な難読化技術を実装している。

• ゴミ命令（Garbage Instructions）: 実行には影響を与えない無駄なコードを挿入し、プログラムの解読を困難にする。
• インポート名ハッシュ化（Import Name Hashing）: 必要な外部APIの情報をハッシュ値で管理し、利用している機能の特定を難しくする。
• 文字列の暗号化: マルウェア内の文字列データを暗号化しておくことで、静的解析での検知を避ける。
• 間接システムコール（Indirect System Calls）: 直接OSの機能を呼び出すのではなく、セキュリティソフトの監視をすり抜ける方法でシステムコールを実行する。

徹底した検知回避と監視機能の無効化プロセス

TELEPUZは動作を開始すると、まず自身がセキュリティ研究者の用意した仮想環境（VM）や分析用のサンドボックス（検証用の隔離環境）上で動いていないかを確認するための環境チェックを行う。

具体的には、搭載CPUが2基未満、メモリが2GB未満、あるいは空きディスク容量が不足しているといったハードウェア制限に該当する場合、実行を即座に停止する。また、OSの地域設定（LCID）を確認し、あらかじめコード内に記述された独立国家共同体（CIS：旧ソ連地域の国々）に属する国々のロケールである場合は、活動を停止する地理的なブロック機能も備わっている。さらに、端末のユーザー名やコンピューター名が、一般的なサンドボックス環境や解析ツールで使われる識別子のリストと一致しないかも厳密にチェックされる。

これらの関門をクリアすると、TELEPUZは次にWindowsの主要なセキュリティ監視機能を強制的に無効化する活動に移行する。

• NTDLL of unhooking（NTDLLのアンフッキング）: セキュリティソフトが監視のためにNTDLL（Windowsの主要なシステム機能を提供するライブラリ）に挿入したプログラムのフックを解除し、動作を隠蔽する。
• AMSIおよびETWの停止: Windowsの標準マルウェア防御機能である「AMSI（Antimalware Scan Interface）」と、システムの動作ログを記録する「ETW（Event Tracing for Windows）」を無効化する。
• DllNotificationコールバックの削除: DLLのロードやアンロードをトリガーに発生する通知機能を削除し、外部の監視アプリがマルウェアの動きを察知できないようにする。

最終段階：権限昇格とC2サーバーとの接続

監視機能を排除したTELEPUZは、次にデバッガ（開発用のデバッグツール）の存在を検知した場合はプログラムをクラッシュさせる処理を実行する。続いて、自身の親プロセスのIDを取得し、親プロセス名が「rundll32.exe」や「svchost.exe」といった既知のプログラムランナーリストと合致するかどうかを検証する。

検証を終えると、端末固有のハードウェアシリアル番号、コンピューター名、およびOSのインストール日付を組み合わせて、被害者を識別するためのユニークなIDを生成する。

セッションの確立に成功すると、マルウェアは並行して動作する2つのスレッド（処理の流れ）を起動する。
1つ目のスレッドは、COM（Component Object Model：Windowsアプリ間の相互通信規格）技術の「COM elevation moniker」という仕組みを用いて管理者権限への昇格を行い、自身をWindowsのサービスとしてシステムに恒久的に登録する。管理者権限を得たマルウェアは、さらにシステムの最上位権限である「SYSTEM権限」を奪うために、実行中の特定プロセスからトークン（権限情報）の窃取を試みる。
もう1つのスレッドは、攻撃者がマルウェアの制御に用いる「C2（Command and Control：指令・制御）サーバー」との間で通信ループを開始し、指令の受信やデータの送信を行う。

補足

ClickFixの手口は、TELEPUZだけでなく「SCMBANKER」など複数の新しい脅威でも相次いで利用が確認されている。ユーザー自身がブラウザの指示に従ってコマンドを実行するという動作を伴うため、従来のセキュリティ対策ソフトによる自動検知が困難であり、注意が必要である。