WordPress数百サイトでAmateraスティーラーが拡散 — Service Workerとブロックチェーンで潜伏、ClickFixで感染

要点

• Netskope Threat Labsは2026年8月27日、数百件のWordPressサイトが改ざんされ、ブラウザーのService WorkerとBaseブロックチェーン上のスマートコントラクト（EtherHiding）を組み合わせてAmateraスティーラーを配布するキャンペーンを報告した。AmateraはAcridRain（ACR Stealer）の後継と位置付けられる情報窃取型マルウェアである。
• 攻撃の起点はWordPressのmu-plugins（must-use plugins）への不正プラグイン設置である。WordPressはこのプラグインを全リクエストで自動読み込みするため、攻撃コードは正規ドメイン上で実行され、訪問者のブラウザーにService Workerを登録する。

攻撃の流れ

1. 侵入とブラウザーへの潜伏

Netskopeによると、不正プラグインは訪問者のブラウザーにService Workerを登録する。Service Workerはサイト本体とは独立して動作し、ページ読み込みを横断してContent-Security-Policy（CSP）ヘッダーを除去し、悪性スクリプトを注入する。研究者は「Service Workerがスマートコントラクトからペイロードを解決する事例はこれまで確認しておらず、組み合わせが調査のきっかけになった」と説明している。

さらにService WorkerはCookieを確認し、サイト管理者としてログイン中の訪問者には悪性動作を見せないことで、検知と除去を遅らせる。

2. ブロックチェーンからのペイロード取得

注入されたスクリプトは公開されたBaseチェーンのRPCエンドポイントへ接続し、スマートコントラクト内に保存されたHTMLを取得する。これがEtherHidingと呼ばれる手法で、改ざんサイト自身はペイロードをホストしないため、従来型のサーバー差し押さえやブロックが効きにくい。

取得されるのは偽のGoogle reCAPTCHA画面である。画面は利用者に「私はロボットではありません」の確認として、表示されたコマンドをコピーし、Windowsの「ファイル名を指定して実行（Win+R）」に貼り付けて実行するよう誘導する。これがClickFixと呼ばれる手口である。

3. ファイルレスな感染チェーン

利用者がコマンドを実行すると、Windows標準のHTMLアプリケーション（mshta）がMP3ポリグロットファイルを外部から取得する。ファイルは正規の音声コンテナに見えるが内部にHTAコードを隠し持ち、解析されると非表示のスケジュールタスクを登録する。

タスクはPowerShellをファイルレスで起動し、メモリ上でAntimalware Scan Interface（AMSI）の無効化を含む防御回避を行う。続いて正規のセキュリティ製品を装うサーバーからEmmenhtalローダーを取得し、公開CDN上の画像に隠された暗号化バイナリをステガノグラフィで抽出する。研究者は「9層を剥がして判明したのは、ハッシュ化できるファイルも差し押さえるサーバーも残さないという設計思想だった」と述べている。

最終的にメモリ上で展開されるのがAmateraである。Amateraは正規のWindows Performance Analyzerを偽装してプロセスに紛れ、保存された認証情報やブラウザーデータを収集する。

4. C2通信と窃取

Amateraは名前解決にDNS-over-HTTPS（DoH）を用い、GoogleやCloudflareの公開リゾルバへ問い合わせることで通常のDNS監視を回避する。その後TLSで暗号化されたセッションをC2へ確立し、窃取したデータを送信する。あわせてルート証明書をインストールし、端末の検証を弱体化させる場合がある。

影響範囲と背景

Netskopeは数百のWordPressサイトで同一の手口を確認しており、被害は特定業種に限らず、改ざんサイトを閲覧した一般利用者がClickFixを実行した場合に感染に至る。WordPressは日本企業でも広く利用されるCMSであり、閲覧者側の操作（コマンドの貼り付け）が感染の必須条件となる点が特徴である。

対策と推奨事項

Netskope Threat Labsは以下の対策を推奨している。

• WordPress管理者はmu-pluginsを含むプラグインディレクトリを監査し、不審なmust-useプラグインや未知のService Worker登録がないか確認する。 正規の更新経路以外で追加されたファイルは除去し、WordPress本体とプラグインを最新化する。
• エンドポイントでは、スケジュールタスクやmshta.exeを起点とするPowerShellの実行を監視し、AMSIパッチやメモリ上でのReflective Loadingを検知する機能を持つEDRを有効化する。
• ネットワークでは、ブロックチェーンRPCエンドポイントへの不審な送信や、DoHを用いた大量の名前解決を監視する。
• 利用者教育として、Webサイトの指示に従ってWindowsの「ファイル名を指定して実行」やターミナルへコマンドを貼り付ける行為を絶対に行わないよう周知する。 正規のreCAPTCHAがOSコマンドの実行を求めることはない。

出典のNetskopeは、ブロックチェーン上のスマートコントラクトを更新するだけで配信内容を差し替えられるため、従来のドメインやファイルハッシュ単位のブロックでは追従が困難であると指摘している。WordPressの運用者と閲覧者の双方で、上記の監査と操作の抑止が重要になる。

出典

• Netskope Threat Labs, “EtherHiding in the Browser: ClickFix Chain Ends in Amatera,” 2026-08-27