MicrosoftがClickFix亜種「TerminalFix」を分析 — 偽CAPTCHAからDLLサイドローディングとリバーストンネルで社内侵入経路を構築

Microsoft Threat Intelligenceは2026年8月28日、ClickFixの亜種にあたるキャンペーン「TerminalFix」を公表した。報告したのは同社のSagar Patil氏らで、同社セキュリティブログで多段階の攻撃連鎖を詳述した。攻撃者は侵害したウェブサイトに偽のCloudflare Turnstile CAPTCHAを重ねて表示し、利用者にPowerShellコマンドのコピーと貼り付けを誘導する。貼り付け先を従来の「ファイル名を指定して実行」ではなくWindows TerminalやPowerShellにした点が特徴で、複数行のスクリプトをより確実に実行させる狙いがあるとMicrosoftは説明している。

偽CAPTCHAからPowerShell実行へ

攻撃の起点は、侵害されたウェブサイトに表示される偽のCloudflare検証画面だ。利用者が「私はロボットではありません」に相当するチェックを操作すると、悪性のPowerShellコマンドがクリップボードに複写される。画面の指示は利用者にWindows TerminalまたはPowerShellを開いて貼り付けるよう求める。

コマンドはターミナルをクリアし、「Starting Cloudflare verification…」などの偽メッセージをシアンや緑で表示して正規の検証に見せかける。裏側では、カスタムUser-Agentで攻撃者インフラからZIPアーカイブを取得し、C:\ProgramData\f47f2a8c21c9df4eに展開してバッチファイル 1.bat をサイレント実行する。ZIPのSHA-256は 18c2090e8a0ae0568af9b87e59eaf8270f23d2909600ed9db91a9444fd8b278f と報告されている。

正規バイナリを悪用するDLLサイドローディング

ZIPには2つのファイルが含まれる。

• LockScreenContentServer.exe — 署名付きの正規Windows実行ファイル。ホストとして悪用される。
• dui70.dll — 「Windows DirectUI Engine」を名乗る未署名の偽DLL。将来日付（2104年）のタイムスタンプで偽装されている。

LockScreenContentServer.exe は起動時に dui70.dll を静的に読み込む。WindowsのDLL探索順序ではアプリケーションの配置フォルダが System32 より先に評価されるため、同梱された偽DLLが正規の代わりに読み込まれる（DLLサイドローディング、T1574.001）。署名付きプロセスの内部で実行されるため、プロセスの評判に依存する制御をすり抜けやすい。

偽 dui70.dll はリソース領域に難読化されたペイロードを保持し、読み込み時にメモリ上で復号して実行を移す。復号後のペイロードをディスクに書き出さずに次段階へ進む点が特徴だとMicrosoftは述べている。

PNGに隠したペイロード — ステガノグラフィ

次段階のPowerShellは、攻撃者の2つのドメインをフェイルオーバーしながら3枚のPNG画像を取得する。各画像のピクセルのRGBAチャネルにバイナリが埋め込まれており、先頭8バイトがペイロード長を示し、残りがファイル本体という構造だ。

スクリプトは1枚目から実行ファイルを、2枚目と3枚目から分割されたDLLの前半と後半を抽出して結合し、ディスクに再構成する。画像は抽出後に削除され、痕跡の削減が図られる。Microsoftは、画像という無害に見える形式に分割して送ることで、通信途中での検知を困難にしていると分析している。

二重の永続化と隠蔽

バッチスクリプトは LockScreenContentServer_MuODG5yBM という正規コンポーネントに似せた名で2つの永続化を同時に設定する。

• レジストリRunキー（T1547.001） — HKCU\...\Run にエントリを作成し、ログオン時に自動実行する。
• スケジュールタスク（T1053.005） — 60分間隔で LockScreenContentServer.exe を再実行するタスクを登録する。

あわせて、ペイロードを配置したフォルダに attrib でシステム属性と隠し属性を付与し、目視での発見を妨げる（T1564.001）。

AD偵察と社内マッピング

永続化の確立後、マルウェアは被害環境がドメイン参加しているかや高価値な標的かを見極めるため広範な偵察を行う。Microsoftによると、収集と列挙には英語・スペイン語・ドイツ語のロケール対応が含まれ、複数言語環境への適応が図られている。

主な偵察項目は次のとおりだ。

• システム情報の収集
• ドメインの信頼関係の列挙
• Domain Adminsグループのメンバーシップ確認
• Active Directoryのユーザーとコンピューターの列挙（ユーザーの説明フィールドの収集を含む）
• ADSI経由のWindows Server列挙と、名前解決したサーバーへのpingによる到達性確認

これらの結果は、後の横展開で狙うべきサーバーや管理者アカウントの特定に使われる可能性がある。

ファイル監視ループとリバーストンネル

偵察の後は、テキストファイルを監視して新たなコマンドを Invoke-Expression で実行し、結果を出力ファイルに書き戻すファイル監視ループが常駐する。非同期のコマンドシェルとして機能し、攻撃者が任意のコマンドを逐次実行できる。

最終段階では、Pythonランタイムと client.py からなるリバーストンネル implant がダウンロードされ、pythonw.exe でウィンドウを表示せずに起動する。implant は gitnow[.]dev:443 へ暗号化されたWebSocketで接続し、任意のTCPトラフィックを被害端末経由で中継するSOCKS的なリバースプロキシを提供する。

Microsoftは、このリバーストンネルが被害端末を組織内ネットワークへの踏み台に変える点が特に危険だと指摘している。観測した範囲では後続の横展開や窃取は確認されなかったが、組織は影響を受けた端末をネットワークの分岐点とみなし、横展開や認証情報の露出の有無を調査すべきだと呼びかけている。

Microsoftが示す検知と対策

Microsoftは同ブログで検知とハンティングのガイダンスを公開している。Microsoft Defender製品群では関連する振る舞いに対する検知を用意し、高度なハンティングクエリで DLLサイドローディング、PNG経由のペイロード取得、レジストリやスケジュールタスクの不審な登録、Active Directory列挙、Python製トンネルの起動などを追えるようにしていると説明している。組織が講じるべき対応は同社の公開する検知・ハンティング指針を参照し、影響が疑われる端末の隔離と資格情報の棚卸しを優先するよう同社は推奨している。

ClickFixは日本でも偽CAPTCHAや「修正手順」を装ってPowerShell実行を促す手口が確認されている。利用者側は、ウェブサイトの指示でターミナルや「ファイル名を指定して実行」へコマンドを貼り付ける行為を避け、組織側はPowerShellの実行制御やアプリ制御、EDRでの振る舞い検知の有効化を検討することが重要だ。

出典

• TerminalFix campaign deploys a reverse tunnel through multistage intrusion - Microsoft Security Blog