5400超の改ざんサイトがブロックチェーンからClickFixを配信、WebRTCで隠す新変種も — Netskopeが報告

Netskope Threat Labsは2026年9月3日、ブロックチェーンのスマートコントラクトを削除困難なペイロード置き場として使う攻撃キャンペーンの分析「Malware on the Blockchain: An Ongoing Campaign’s New WebRTC Twist」を公開した。攻撃者はBNB Smart Chain（BSC）のテストネット上に置いたスマートコントラクトから、改ざんした中小企業のWebサイト経由で訪問者にClickFix攻撃を仕掛ける。観測期間中に確認された改ざんサイトは5400件を超え、現在も増加が続いているとされる。

攻撃の仕組み — 改ざんサイトがブロックチェーンから次の段階を読み込む

ClickFix（クリックフィックス）とは、偽のCAPTCHA（画像認証）画面などで利用者をだまし、自分のパソコンでコマンドを実行させる手口だ。Netskopeの説明によると、今回の攻撃の流れは次の通りだ。

1. 改ざんサイトに小さな読み込みコードが仕込まれる: インラインスクリプトの直接埋め込みか、偽装パッケージの形で配置される。
2. BSCテストネットの契約に問い合わせる: 読み込みコードがJSON-RPCのeth_callでスマートコントラクトを呼び出し、鎖上に保存された第2段階のスクリプトを受け取る。
3. 偽CAPTCHAでコマンド実行を誘導する: 受け取ったスクリプトがページをぼかして偽CAPTCHAを重ね、「ファイル名を指定して実行」を開いてコマンドを貼り付けるよう訪問者に指示する。
4. 貼り付けたコマンドがダウンローダーとして働く: 最終的なペイロードを外部から取ってきて実行する。

ブロックチェーンが「受け渡し場所（dead drop）」として機能する点が特徴だ。攻撃者は1つの契約を更新するだけで、侵害した全サイトの配信内容を切り替えられる。訪問者はページを開くたびに最新の内容を受け取る。最終ペイロードは固定されておらず、同じ配信経路から訪問者ごとに異なる攻撃につながり得るとされる。

なぜテストネットか — 無料の開発基盤を削除に強い置き場に転用

BSCはスマートコントラクトを実行できるブロックチェーンだ。本番網（メインネット）では契約の配置や更新のたびに実際のBNB（手数料）がかかる。一方、開発者向けの並行網であるテストネットは本番網と同様に動作するが、BNBに金銭的価値はなく給水所（faucet）から無料で配られる。Netskopeは、無料で契約を配置・書き換えできる開発用の仕組みが、攻撃者にとって本番網と同等の削除耐性をただで得られる置き場になっていると指摘している。ホスト事業者やドメイン登録事業者による取り下げの対象にならない点が、攻撃者にとっての利点だ。

規模 — 5400超のサイト、2200超の組織、春から増加が継続

Netskopeの観測によると、BSCテストネットのRPC終端に接続する改ざんサイトは5400件超で、2200超の組織にまたがる。1日のうち数百件が活動し、平日は300件超が確認される日が続き、春以降、1日あたりの件数は増加傾向で推移しているとされる。

改ざんされたサイトの共通点は、診療所や配管業者、EC店舗などの中小企業サイトであること以外に乏しく、業種・地域・所有者に関連性は見られないという。個別に調べたサイトはWordPressが最も多く、PrestaShopの場合もあった。サイトが最初にどう侵害されたかは、Netskopeの公開時点では不明とされている。

新変種 — ハンドシェイクを省略するWebRTCデータチャネル

Netskopeは一部のサイトを詳しく解読する中で、ClickFixとは別のものを運ぶ変種を見つけた。WebRTCのデータチャネルを開いて攻撃者の指示を待ち受ける小さな中継コード（stager）だ。

WebRTCはブラウザ間のビデオ通話や直接通信に使う技術で、通常は信号サーバー経由で接続情報を交換するハンドシェイク（offerとanswerの往復）が必要になる。この変種はofferを生成した後、どこにも送らずにanswerを自作して自分自身に与える。ハンドシェイクは行われないのに、攻撃者へのデータ経路だけが開く仕組みだ。C2のIPアドレス（文字列として現れないよう数値の断片から組み立てる）、UDPポート、ICEパスワード、サーバーのDTLS指紋といった、本来なら交渉で決まる値はすべて固定値で書き込まれている。指紋を最初から知っているため、証明書の交換なしに暗号化通信路が最初のパケットで開き、監視すべき信号通信も残らないとされる。

受け取った指示の実行にも痕跡を残しにくい工夫がある。受信したコードは、当該サイトの正規スクリプトが持つContent Security Policy（CSP）のnonce（使い捨て許可証）を流用してページのheadに挿入されるため、ブラウザは攻撃者のコードを許可済みとして扱う。nonceが無い場合はFunction()に切り替わる。実行後はスクリプト要素を直ちに除去し、通信路を閉じるため、ディスクに何も書き込まれないとされる。

Netskopeが示す対策 — RPC終端の遮断とCMSの整合性確認を

Netskopeはこのキャンペーンを追跡中で、RPC終端や配信基盤、ペイロードの検知対応を更新し続けるとしている。同社は顧客に対し、主要な終端だけでなくBSCテストネットのRPC群全体を遮断すること、HTTP検査では見えないWebRTC通信路に備えてWeb以外の通信も監視することを挙げている。サイト運営者には、正規のJavaScriptファイルへの追記や偽プラグインディレクトリへの配置で読み込みコードが仕込まれるため、CMS資産の整合性確認を求めている。侵害の痕跡（IOC）の一覧は、同社のThreat Labsが公開するIOCリポジトリで提供されている。

出典

• Malware on the Blockchain: An Ongoing Campaign’s New WebRTC Twist — Netskope（2026年9月3日公開、John Carlo Marquez）