ClearFakeがWebDAV経由でAmateraを拡散 — TalosがBNB Smart Chainを悪用する二重感染チェーンを解明

要点

• Cisco Talosは2026年9月8日、ClearFakeを使ったWebDAV感染チェーンを公表した。 侵害サイトのCloudflare WorkerがBNB Smart Chain上のスマートコントラクトから次の段階のJavaScriptを取得し、偽のGoogle CAPTCHA（ClickFix）で利用者にWebDAV上のDLL実行を誘導する。
• 二つのDLLローダー「pf.ch」と「verification.google」が、いずれも拡張子を偽装した32bit DLLを rundll32.exe のordinal #1で実行し、メモリ常駐のAmateraスティーラー（ACR Stealer）を展開する。 AmateraはC2の指示で二次ペイロードを分岐させる。
• C2解決にTelegraphページやSteamコミュニティプロファイルを使うデッドドロップや、BNB Smart Chainを2度使うEtherHidingが特徴だ。 pf.ch側はZig言語製のZigCryptoStealerとGo製リバースプロキシを、verification.google側はロシアのIPに接続するNetSupport Managerを展開した。

Talosが追跡した二つのWebDAVチェーン

Talosは2026年4月、ウクライナの政府組織のエンドポイントテレメトリで、WebDAVのUNCパス上の verification.google というDLLが32bit版 rundll32.exe で実行された事象を端緒に調査を開始した。WebClientサービスの起動を伴うこの実行は、従来のClearFakeの手口と類似していた。

TalosはVirusTotalでのハンティングで、同じWebDAVとordinal実行の特徴を持つ第二のローダー pf.ch を発見し、そこから完全なブラウザ側の感染フローを復元した。Talosは二つのチェーンは低〜中程度の確度で同一の配信基盤に由来すると評価している。

ClearFakeはBNB Smart Chainから次のコードを取得するEtherHiding

pf.ch側のチェーンは、侵害サイトに設置されたCloudflare WorkerによるJavaScriptインジェクションから始まる。同スクリプトは bsc-testnet-rpc[.]publicnode[.]com を通じてBNB Smart Chainテストネットのコントラクト 0x886d310Ac23e05EA705e24E513D19f53793832A9 に問い合わせ、OSを判定して次のコントラクトを選択する。

• Windowsなら 0x46790e2Ac7F3CA5a7D1bfCe312d11E91d23383Ff
• macOSなら 0x68DcE15C1002a2689E19D33A3aE509DD1fEb11A5

コントラクトから返却されたBase64をデコードしてJavaScriptとして実行する手法は、ブロックチェーンを書き換え可能な外部ストレージとして使う「EtherHiding」と呼ばれる。Talosは、Potent PagesやCensysが同一のコントラクトを悪用するClickFixチェーンを既に報告していると付記している。

Windows向けのブラウザ段階では、ヘッドレスブラウザ判定と被害者識別子 cjs_id の発行を経て、偽のGoogle CAPTCHAチェックボックスをページに重ねて表示する。利用者に「Windowsのファイル名を指定して実行を開き、クリップボードの内容を貼り付けてEnterを押す」よう指示し、WebDAVパス leaguejazire[.]com 上の pf.ch を rundll32 ordinal #1（エクスポート名 moor）で実行させるコマンドをクリップボード経由で実行させる。

macOS向けも同様の偽検証画面で、Terminalに curl コマンドを貼り付けさせ、riyazinikokar[.]xyz 上のペイロードを取得させる流れだが、TalosはWindows側の顧客事案を主軸に分析したと説明している。

DLLローダーの違いとAmateraの展開

二つのローダーはWebDAVとordinal #1という実行パターンは共通だが、実装は異なる。

pf.ch はパックされた32bit DLLで、ベクタード例外ハンドラやXOR、APIハッシュ化で静的解析を妨害する。イベント hit を待機して埋め込みBLOBをFiber経由で実行し、XORとLZNT1でAmatera本体（ビルド 4.1.5-alpha、文字列 GETWELLV2 を含む）を復号する。同ビルドはSteamコミュニティプロファイルをC2のデッドドロップとして使う旧来の手口を継承している。

verification.google は TpAllocWork コールバック登録やWoW64直接システムコール、.rdata からの次段階復元を経て、正規の dbghelp.dll をメモリにマップしてコードセクション先頭を悪性コードで上書きする「DLLハロウィング（モジュールスタンピング）」で実行に移る。エクスポート CfgInspectModuleData がordinal #1に当たる。

いずれのAmateraもディスクに書き込まずメモリ常駐で動作する。

AmateraのC2解決と二次ペイロードの分岐

AmateraはC2アドレスの解決方法がビルドごとに異なる。

• pf.ch由来のAmatera は https[:]//telegra[.]ph/Functions-04-03 というTelegraphページをデッドドロップとして使う。ページ内のRustチュートリアル風コードに埋め込まれた r.]MTQ1LjI0OS4xMDkuMTQ3)0(. をBase64デコードすると 145.249.109[.]147 が得られ、同IPの443/TCPにAFDソケットで直接接続し、GetEndpoints で後続のエンドポイントを取得する。
• verification.google由来のAmatera は暗号化された文字列から 45.150.34[.]2 を復号し、TLSのSNIとHostに github[.]com を偽装して同IPに接続する。こちらは公開デッドドロップを介さない。

C2から取得するJSON設定は、Base64とXOR（鍵 852149723\x00）で保護されており、ブラウザ、拡張機能、メッセージアプリ、ウォレット、パスワード管理ツールなど400超の収集ルールと、DesktopやDownloadsなどを対象とするファイル収集ルールを含む。ld 配列で二次ペイロードの指示も受け取る。

Talosが確認した二次展開は次の通りだ。

ブランチ	C2指示	二次ペイロード
pf.ch	優先度1の jquery.min.js（tf:1, tr:1）とGoプロキシ	正規Chromeコンポーネント platform_experience_helper.exe に Secur32.dll（NativeAOT）をDLLサイドローディングし、Zig言語製 ZigCryptoStealer と脆弱ドライバ DCRCVDrv.sys（BYOVDでEDRプロセスを ZwTerminateProcess）を展開。別タスクでGo製リバースTCPプロキシ（wss://update[.]dubbedmuch[.]cc、Yamux多重化）をメモリ実行
verification.google	PowerShell（tf:4, tr:2）単一タスク https://kr[.]cedar2glanz[.]ru/jewel[.]js	環境チェック（CPU数、メモリ、GPU、仮想環境文字列など）を経て https://phys[.]stunned-amniotic[.]com/hub[.]log のZIPを取得し、正規NetSupport Manager 12.44（hypersnap.exe にリネーム、Gateway paternal-angrily[.]com:443、IP 212.118.56[.]166）を %APPDATA% に展開して常駐化

ZigCryptoStealerはクリップボードの暗号資産アドレスを監視して置換するスティーラーで、BNB Smart Chainのコントラクト 0x7CC3cFC1Ac007B8c6566fD2C7419b15a75473468 を再びEtherHidingに使い、eth_call でC2ドメイン（調査時点は lb[.]propertyfind[.]cc）を取得する。VMRayは同系統の手口を既報としており、TalosはUmbrellaのDNS観測で98か国からの問い合わせを確認したと報告している。

NetSupport Manager側は、ライセンス表記 KAKAN / NSM789508 が過去の ClickFix由来の悪用パッケージ（EVALUSION、IClickFix）と共通しており、Talosは単独アクターの識別子ではなく、共有された展開系統の指標と評価している。同ツールは画面操作やファイル転送、プロセス管理、PowerShell実行を可能にするため、Amateraの自動収集後に手動で端末を操作されるリスクがある。

影響とTalosの評価

Talosは、二つのチェーンについて中程度の確度で「特定組織を狙った標的型ではなく、暗号資産と認証情報窃取を目的とした広域キャンペーンの一部」と評価している。verification.google側のNetSupport Manager設定にロシアのIPが含まれていた点から、同ブランチは中程度の確度でロシアの脅威アクターによるものと推定しているが、Amatera本体の二つのビルド間にインフラの直接的な紐付けは確認していない。

Talosが引用するMalwarebytes（2026年7月、RenPy Loader経由のAmatera）やBlackpoint Cyber（Google Calendarを悪用する偽検証チェーン）の事例が示す通り、同時期に異なる感染経路でAmatera配布が活発化している。今回のチェーンは、ブロックチェーンをC2解決と初期配信の双方で使う二重のEtherHidingと、WebDAV＋ordinal実行というOS標準機能の悪用が特徴だ。

組織が確認すべきこと

Talosが公開したIOCには、WebDAVドメイン（leaguejazire[.]com、riyazinikokar[.]xyz）、BNBコントラクトアドレス、Telegraph/Steamのデッドドロップ、二次ペイロードのハッシュやC2ドメインが含まれる。

Talosは本報告で特定の製品パッチを推奨していないが、記事中の観測事実から、組織は次の点を確認することが有効になる。

• エンドポイントでの rundll32.exe によるWebDAVパス（\\*@ や @SSL を含むUNC）実行やWebClientサービス起動の有無
• 侵害サイト経由の不審なCloudflare Worker通信やBNB Smart Chain RPC（publicnode[.]com）へのブラウザからの問い合わせ
• Amateraの設定が収集対象とするパスワード管理ツール（KeePass、Bitwarden、1Passwordなど）や暗号資産ウォレット関連ファイル（.kdbx、.p12、.pem など）の不正アクセス

二次ペイロードとしてEDRを停止する脆弱ドライバ（DCRCVDrv.sys）やNetSupport Managerの正規バイナリ悪用が含まれるため、ドライバの持ち込み（BYOVD）や正規RATの不正利用を想定した検知ルールの見直しも重要になる。

---

出典

• Cisco Talos — ClearFake WebDAV infection chain delivers Amatera stealer, ZigCryptoStealer, and NetSupport Manager（2026年9月8日公開）