ユーザー自身に不正コードを実行させる「ClickFix」攻撃の実態、1万7000件超のURL分析で明らかに

要点

• サイバーセキュリティ企業のCTM360が、ユーザーを騙して悪意あるコマンドを実行させる「ClickFix」攻撃に関する包括的な調査レポートを公開した。

• 攻撃インフラにはブロックチェーンから接続先を取得する「EtherHiding」技術が使われており、従来のドメインブロックによる防御が無効化されている。

• WindowsだけでなくmacOSやLinux向けのおとり画面も用意されており、サーバー側の設定変更だけで即座に攻撃対象を切り替えられる構造になっている。

• 被害端末のハードウェアやアカウント情報を送信した上で個別にマルウェアを配信するなど、解析環境を回避する高度な選別機能が確認された。

• Microsoftの調査では2025年の初期侵入事案の47%を占めるなど、従来のフィッシングを上回る主要な侵入手法として急増している。

• サイバーセキュリティ企業のCTM360は2026年9月24日、正規のウェブサイトを改ざんしてマルウェア感染へ誘導する手口「ClickFix」に関するグローバル脅威レポートを発表した。偽のCloudflare認証画面などを表示する1万7,000件以上のURLを分析した結果、ブロックチェーン技術を悪用した停止措置への耐性や、標的の端末環境に応じた高度な配信制御の実態が明らかになったという。

コピー＆ペーストを悪用する手口と被害の急拡大

ClickFixは、ソフトウェアの脆弱性（セキュリティ上の欠陥）や電子メールの添付ファイル、ブラウザによるファイルダウンロードを一切使わずに端末へ侵入する攻撃手法である。

攻撃は、ウェブサイトを訪れたユーザーに対して「人間による認証チェックが完了しない」「ブラウザでページが表示できない」「ドキュメントが開けない」「Macのストレージ容量が不足している」といったトラブルを画面上に表示することから始まる。続いてページ側が解決手順と称する指示を提示し、ユーザーが気づかないうちにクリップボードへ不正なコマンドを書き込む。その上で、OS標準の信頼できるシステムインターフェースを開いてコマンドを貼り付け、実行するよう誘導する仕組みとなっている。

ログイン済みの正規ユーザー自身がOS標準のプログラム上でコマンドを実行するため、脆弱性スキャナーやメールゲートウェイ、ブラウザの評判判定システムによる検知をすり抜けてしまう特徴を持つ。

企業ネットワークへの初期侵入（最初の足がかりを得る段階）において、本手法は主要な手口となっている。MicrosoftのDefender Expertsチームが2025年に対応した初期侵入事案のうち47%がClickFixによるものであり、従来のフィッシング攻撃を上回った。セキュリティ企業のESETの調査でも、2025年上半期にかけて517%増加し、2025年後半から2026年上半期にかけてさらに108%の増加が記録されている。セキュリティフレームワークを策定するMITREは、2025年3月に本手口をサブテクニック「T1204.004（ユーザーによる悪意あるコピー＆ペーストの実行）」として登録し、影響を受けるOSとしてWindows、macOS、Linuxを挙げている。

ブロックチェーン悪用によるテイクダウン耐性

CTM360のレポートでは、偽のCloudflare認証画面を表示する1万7,000件以上の改ざんURL（調査時点で約3,000件が稼働中）の大規模分析と、侵害されたWordPressサイトの詳細なホスト分析が統合されている。

調査の結果、改ざんされたウェブサイトに埋め込まれたスクリプトには、攻撃者のドメイン名が一切含まれていないことが判明した。訪問者がページを読み込むと、ブラウザがPolygonブロックチェーン上のスマートコントラクト（台帳上で自動実行されるプログラム）に対して無料の読み取り専用リクエストを送信する。コントラクトから返されるエンコードされた文字列を復号することで、最新の誘導先ホスト名を取得する仕組みであり、この手法は「EtherHiding」と呼ばれている。

攻撃者はブロックチェーン上の値を1箇所変更するだけで、改ざんされたすべてのサイトの誘導先を数秒で一斉に切り替えることができる。CTM360による1日の観測中にも、改ざんサイト側を一切変更することなく、コントラクトから返される誘導先が順次3つのホストへ切り替えられた事例が確認された。ドメインの登録事業者やホスティング事業者への通告によるサイト停止が困難であり、通信の取得に正規の共通サービスが使われているため、ドメインのブラックリスト登録による防御は追いつかない状態になっている。

さらに攻撃チェーンの後半では、Telegramチャンネルの説明文やSteamのプロフィールページを経由してC2サーバー（マルウェアに遠隔指示を出す指令サーバー）のアドレスを解決する仕組みも確認された。複数段階で独立した解決手段を持たせることで、一部の通信先が遮断されてもインフラ全体が停止しないよう設計されている。

サーバー主導のターゲティングと解析の妨害

攻撃サイトでは、訪問者の環境に応じた厳密な選別が行われている。誘導ページは訪問者のOSやバージョン情報を攻撃側のサーバーへ送信し、サーバー側が攻撃対象と表示する画面を動的に指示する。

分析されたサンプルではWindows端末への攻撃が有効化されていた一方、macOSおよびLinux向けの誘導ページも作成され、予備として保持されていた。macOS向けにはAppleのサポート記事を模したディスク容量のメンテナンス画面など独自の誘導シナリオが用意されており、サーバー側の設定フラグを切り替えるだけで攻撃対象を変更できる状態だった。一方でスマートフォンなどのモバイル端末は攻撃対象から除外されており、同一の訪問者に対してはCookieを用いて90日間おとり画面の表示を停止する制御も行われていた。

また、約1.5秒ごとに攻撃側サーバーへ問い合わせを行うトラフィック配信システムが稼働しており、セキュリティ研究者やクローラー、サンドボックス（不正な挙動を検知するために隔離された仮想環境）からのアクセスと判定された場合は、不正な指示を表示せず通常の安全なページを返す仕組みが備わっていた。

端末情報によるペイロード配信の選別

ホストから回収されたドロッパー（マルウェアを端末内に送り込むプログラム）の分析からは、端末固有の識別情報を利用した配信制御の実態も確認された。

ドロッパーは、マシンのGUIDやボリュームシリアル番号、コンピューター名、BIOS製造元、システムモデル、GPU情報、ユーザー名などのハードウェアおよびアカウント情報を収集する。これらの情報はBase64形式でエンコードされ、ファイルのダウンロードパスに直接組み込まれて送信される。

C2サーバーはファイルを送信する前に接続元端末の身元を確認できるため、端末ごとに個別のペイロード（不正なプログラム本体）を送り分けるか、あるいは何も配信しないといった制御が可能となっている。これにより、解析用の環境を事前に識別して検知を回避する動作が行われていると報告されている。