eSentireがClickFix経由のEDRキラー「Cruciferra」を分析 — ErrTrafficがPolygonでC2を隠蔽、145プロセスを停止

**eSentireのThreat Response Unit（TRU）は2026年7月下旬、侵害されたWordPressサイトに仕込まれたClickFix誘導から、EDR（Endpoint Detection and Response: 端末検知・対応）を無力化するローダー「Cruciferra」を配信する攻撃を複数確認した。配信基盤となる「ErrTraffic」とローダー「Cruciferra」は、いずれも地下フォーラムで販売されるMaaS（Malware-as-a-Service: サービスとしてのマルウェア）**だ。eSentireは2026年8月に詳細な分析を公開した。

攻撃の起点 — WordPress改ざんからClickFixへ

攻撃は侵害されたWordPressサイトに埋め込まれた難読化されたErrTraffic製JavaScriptから始まる。このJavaScriptはBase64と1バイトXORで難読化され、実行時にPolygon（Ethereumのレイヤー2）上のスマートコントラクトに対してeth_callのgetDomain呼び出しでC2（Command and Control: 指令統制サーバ）のドメインを解決する。解決後はdocument.headまたはdocument.bodyに新たなscript要素を追加し、<C2>/api.php?s=<AUTH_KEY>&_v=<分数>の形式でC2に問い合わせてClickFix誘導のJavaScriptを取得する。

ClickFix誘導はGoogle reCAPTCHA、Cloudflare Turnstile、あるいはブルースクリーン（BSOD）のエラー画面に偽装する。画面は利用者に悪意あるPowerShellコマンドをクリップボードへコピーさせ、「Windowsキー＋X → I」でPowerShellを開いて貼り付け、実行するよう指示する。eSentireによると、ErrTrafficはロシア語圏の地下フォーラムでLenAIというアクターが販売し、月額380ドルで提供される。Webパネルで誘導の見た目やドメイン表示、ライト/ダークモード、地理・リファラーによるフィルタリング、キャンペーン統計、WordPressプラグイン生成までを管理できる。

eSentireが確認したPolygonコントラクトは0xB6BC9E1D0B2FB96AB7C47E04CB0BE477410BC1F2と0x83833C5D676CA06E941A32310AE67D0890F657EEで、14のRPCエンドポイント（polygon.drpc.orgやpolygon.lava.buildなど）で冗長化されていた。トランザクション履歴では攻撃者が定期的にC2ドメインをローテーションしており、多数のWordPressサイトに埋め込んだinjectを書き換えずにインフラを切り替えられる仕組みだった。

Cruciferra — 脆弱ドライバで145プロセスを停止するローダー

Cruciferraは地下フォーラムのユーザーCruciferraが2025年11月から販売するMaaSで、当初は**「crypter（暗号化ローダー）」としてEDR/AVを停止させる機能**を売りにしていた。EDRキラー機能付きパッケージは月額1200ドルで取引されている。eSentireによると、CruciferraはProofpointが過去に報告したものと同じく、BYOVD（Bring Your Own Vulnerable Driver: 自前で持ち込む脆弱ドライバ）を悪用する。

今回確認された検体（SHA-256: 0ae0a7f118b80e4655b8b86bb421c151a8f17930e76e714b2fa199409f3af9ce）では、正規のMicrosoft署名付きバイナリを悪用してCruciferra DLL（mscoree.dll）をサイドロードし、プロセスホロウイング（T1055.012）で正規バイナリServiceModelReg.exeのアドレス空間にRemusインフォスティーラーを注入する。設定でUACバイパスとEDRキラーが有効な場合、BYOVDドライバ「DCRCVDrv.sys」をロードする。

このドライバは韓国のIT企業MocoMsysが署名したもので、ユーザーモードのアプリケーションがカーネルから直接プロセスを終了できるIOCTLを公開している。CruciferraはこのIOCTLを悪用して145のAV/EDR関連プロセスを停止させる。eSentireはこのドライバがMicrosoftの脆弱ドライバブロックリストに未登録だった点を指摘している。

攻撃チェーン全体

1. 利用者が侵害されたWordPressサイトを訪問する。サイトにはErrTrafficの難読化されたinjectが埋め込まれている。
2. injectがPolygonコントラクトでC2を解決し、C2からClickFix誘導のJavaScriptを取得する。
3. ClickFix誘導が表示され、利用者にPowerShellへの貼り付けと実行を促す。
4. PowerShell経由で複数のステージが実行され、正規バイナリがCruciferra DLLをサイドロードする。
5. CruciferraがRemusをServiceModelReg.exeに注入する。EDRキラーが有効な場合はDCRCVDrv.sysをロードして145プロセスを停止する。

eSentireが推奨する対策

eSentireのTRUは以下の対策を推奨している。

• 脆弱ドライバをEDR/AVコンソールでブロックする。対象はSHA-256 87e8d39db624f37d3e77aedf487a2dfd197f71a4730ea74f4e7a4341deaec2ff（DCRCVDrv.sys）だ。
• 実践的なシナリオを用いたフィッシング・セキュリティ意識向上訓練（PSAT）を実施する。ClickFixは利用者自身に操作させるソーシャルエンジニアリングのため、訓練が有効になる。
• 多様なシグナルを扱う24時間体制のMDR（Managed Detection and Response）や、最低限としてNGAV/EDRを導入して検知と封じ込めを確保する。eSentireは「多信号の可視化と24時間の脅威ハンティング」が横展開の防止に必要だとしている。

日本の組織への示唆

ErrTrafficとCruciferraはいずれもMaaSとして販売され、WordPressの改ざんとClickFixという手口の低さを武器にしている。国内でもWordPressで運用されるサイトは多く、CloudflareやGoogleを装う誘導は日本語環境でも違和感が少ない。また、BYOVDによるEDR無力化は、EDRを導入済みでもカーネルドライバの制御が不十分だと効果を失うことを示す。eSentireが示した脆弱ドライバのブロックは、EDRコンソールで即時に設定できる対策だ。各組織は自組織で利用するEDR製品でブロックリストが有効か、ClickFixのようなクリップボード経由の実行を検知・教育できているかを確認することが望ましい。

出典

• Malware-as-a-Service Cocktail: ErrTraffic and Cruciferra - Killing Your EDR Since 2025 — eSentire（2026年7月下旬の観測に基づくTRU分析）