「TerminalFix」、偽のCloudflare CAPTCHAでPowerShell実行を誘導　リバーストンネルを構築

偽のCAPTCHAを悪用する「TerminalFix」、PowerShellコマンドの実行を誘導

攻撃者がCloudflareのCAPTCHAを模倣した偽の認証画面を利用する「TerminalFix」と呼ばれる攻撃キャンペーンを展開している。TerminalFixは、ユーザーを誘導して悪意のあるPowerShellコマンドを実行させ、侵害したWindowsデバイスをリバーストンネルのピボットポイントとして利用する。Microsoftによると、この攻撃では侵害されたWebサイトを通じて組織を標的とし、Cloudflare Turnstileを模倣した偽の「人間であることの確認」画面を表示する。

攻撃者はブラウザの脆弱性を悪用するのではなく、ソーシャルエンジニアリングによってユーザー自身にコマンドを実行させる。偽のブラウザエラーやセキュリティ警告を表示し、問題を解決するための手順を装って、コピーしたコマンドをWindows TerminalやPowerShellに貼り付けて実行するよう誘導する仕組みだ。

この手法はClickFixの亜種にあたり、従来のWindows「ファイル名を指定して実行」ダイアログではなく、Windows TerminalやPowerShellでコマンドを実行させる点が特徴となっている。ユーザーが偽のCAPTCHAの指示に従うと、悪意のあるコマンドが端末上で実行され、後続のペイロードが隠しディレクトリに配置・実行される。

DLLサイドローディングとカスタムインプラントでリバーストンネルを構築

攻撃者は、Microsoftの署名が付与された「LockScreenContentServer.exe」と悪意のある「dui70.dll」を組み合わせ、DLLサイドローディングによって不正なコードを実行する。正規の署名付き実行ファイルが同一ディレクトリに配置された悪意のあるDLLを読み込む仕組みを利用することで、不正な処理を実行する。

読み込まれたDLLは、暗号化されたリソースを展開して追加の悪意のあるペイロードを実行するほか、システム情報を収集し、Active Directory（AD）を介して組織内部のネットワーク情報を取得する。これにより、攻撃者は侵害した端末だけでなく、内部ネットワークの構成や接続可能なシステムに関する情報を収集できる。

さらに、攻撃者はカスタムインプラント「client.py」を使用し、侵害したWindowsデバイスを起点とするリバーストンネルを構築する。このインプラントはTLSを介してリモートサーバーに接続し、WebSocketを利用してTCPトラフィックを中継する。これにより、外部の攻撃者が侵害端末をピボットポイントとして組織の内部ネットワークへアクセスできるようになり、ラテラルムーブメントやランサムウェアを含む後続攻撃に悪用される可能性がある。

TerminalFixへの対策と検知ポイント

TerminalFixへの対策では、不審なCAPTCHAを経由したPowerShellコマンドの実行や、通常とは異なるプロセスの挙動を監視することが重要となる。特に、「LockScreenContentServer.exe」が「C:\Windows\SystemApps」以外の場所から実行されるケースや、ProgramData配下の隠しディレクトリ、不審なRunキーやスケジュールタスク、pythonw.exeによるトンネリング通信などは、侵害を示す兆候として確認する必要がある。

また、PowerShellの実行制御やスクリプトブロックログの有効化、アプリケーション制御ポリシーの適用なども、攻撃チェーンの検知や実行防止に有効となる。Cloudflare TurnstileなどのCAPTCHAがWindows TerminalやPowerShellでコマンドを実行するよう要求することはないため、こうした操作を求めるWebページについてはTerminalFixやClickFix系のソーシャルエンジニアリング攻撃を想定した対応が求められる。