ClickFix亜種、Windowsネイティブツールで検知回避

ClickFix変種、Windowsネイティブツールによる実行手法

ClickFix攻撃の新たな変種では、PowerShellの代わりにcmdkeyやregsvr32などのWindows標準ユーティリティを利用した実行手法が確認されている。これにより、従来の検知手法を回避する構成となっている。

攻撃はCAPTCHA認証画面を装ったフィッシングページから開始され、ユーザーにWin＋R操作を通じたコマンド実行を誘導する。実行されたコマンドは資格情報を保存し、外部から取得したDLLをロードすることで不正な処理が行われる。

Windows標準ツールを用いたモジュール型実行手法

攻撃では、cmd.exe経由でcmdkeyを実行し、リモートシステムの資格情報を保存する手法が確認されている。続いてregsvr32を利用し、外部から取得したDLLをロードして実行する構成となっている。

実行されたDLLはスケジュールタスクを作成し、持続的な実行を維持する。タスク定義はリモートのXMLファイルから取得され、外部から更新可能な構成となっている。

これらの処理は複数の正規ツールを組み合わせた実行フローとして確認されている。

正規ツール悪用と検知の課題

本変種では、Windows標準ユーティリティを組み合わせることでディスク上の痕跡を抑えつつ、ユーザー操作を介した実行が行われる構成が確認されている。

こうした手法により、従来のシグネチャベース検知では把握が難しい挙動が発生する可能性がある。対応としては、実行プロセスや通信挙動に基づく分析の重要性が指摘されている。