FileFix(ファイルフィックス)を活用した本格的なサイバー攻撃キャンペーンが観測される|セキュリティニュースのセキュリティ対策Lab

セキュリティニュース

投稿日時: 2025年09月18日更新日時: 2025年09月18日

FileFix(ファイルフィックス)を活用した本格的なサイバー攻撃キャンペーンが観測される

2025年9月、Acronis の調査チームが、概念実証（PoC）の域を超えた「FileFix(ファイルフィックス)」攻撃の実運用キャンペーンを観測しました。

近月急増している「*Fix」系（ClickFix／FileFix／PromptFixなど）の一派で、被害者自身に OS の機能を使って攻撃コードを実行させる“自己実行型”のソーシャルエンジニアリング手法が核となっています。

1 FileFixとは何か──「貼り付けさせる」攻撃の新顔
2 「Facebookセキュリティ」偽サイトから誘導
3 感染鎖：画像に潜む第2段・実行ファイル、段階的に復号・展開
4 どこが危ないのか
5 参考：主なIoC（侵害の痕跡）

FileFixとは何か──「貼り付けさせる」攻撃の新顔

ClickFix(クリックフィックス)が「Win+RでRunダイアログを開き、貼り付けてEnter」という偽CAPTCHA手口を多用するのに対し、

FileFixはファイルアップロードのダイアログを悪用します。

フィッシングサイト上の「ファイルを選択」ボタンを押すとエクスプローラーのアップロードウィンドウが開きますが、攻撃者はそのアドレスバーにコマンドを貼り付けさせるよう誘導します。コマンドはローカルで実行され、ユーザーは「PDFを開く」つもりで、実際にはPowerShellを走らせてしまい、

結果的にインフォスティーラー型のマルウェアをインストールしてしまいます。

「Facebookセキュリティ」偽サイトから誘導

今回のキャンペーンが用いたサイトは、Metaのサポートページの意匠を精巧に模写し、16言語以上にローカライズされていました。

画像：Acronis

アカウント停止の予告と不服申し立てを提示し、「手順PDFを開くためにファイルパスを貼り付けてください」と促します。

ここで被害者がアドレスバーに貼るのはファイルパスではなく1行の高度に難読化されたPowerShellです。実行後は「ファイルを開けませんでした」と体裁を整えたエラーを出し、被害者は画面上先に進めない一方で、裏側では感染鎖が進みます。

画像：Acronis

感染鎖：画像に潜む第2段・実行ファイル、段階的に復号・展開

最初のPowerShellは、Bitbucket等に置かれた一見無害なJPGをダウンロードします。

コードはクラス名・名前空間を細切れの変数に分割するなどパターン回避の難読化が徹底され、URL自体をXORと16進表現で暗号化して実行時に復元する亜種も確認されています。

第1段：JPGの指定オフセット以降からプレーンテキストの第2段PowerShellを切り出して実行。
第2段：同じJPG内にRC4で暗号化して埋め込んだ実行ファイル／DLLをオフセット指定で抽出→解凍（gzip）→復号→ディスクに投下。.exeは conhost.exe 経由で起動し、12分後に自削除。ユーザーにはダイアログで「Cannot open file!」とだけ表示。

画像は牧歌的な風景やマクロ写真といったAI生成風の素材が用いられており、静的スキャンで“ただの画像”に見えることが検知回避に効いています。ステガノグラフィをFileFixの一次ペイロード直下で使うのは珍しく、防御側にとって盲点になり得ます。

どこが危ないのか

FileFixの厄介さは、ユーザーが普段触れる操作系（ファイル選択、クリップボード）を踏み台にする点にあります。

端末に管理者権限が無くても、ブラウザ子プロセスとしてPowerShellが起動すれば、ユーザープロファイル配下の資格情報やブラウザ保管のトークンにアクセスが及びます。

EDRやプロキシのルールが「端末上のRun/端末コンソール」寄りに最適化されていると、ブラウザ→PowerShellのツリーを見落としやすくネットワーク監視にも引っかかりにくいです。

さらに、BitbucketやGrabifyなど正規サービスを経由することでUTMやEDRの検知をさけています。

参考：主なIoC（侵害の痕跡）

ハッシュ（SHA-256）

70AE293EB1C023D40A8A48D6109A1BF792E1877A72433BCC89613461CFFC7B61

06471E1F500612F44C828E5D3453E7846F70C2D83B24C08AC9193E791F1A8130

08FD6813F58DA707282915139DB973B2DBE79C11DF22AD25C99EC5C8406B234A

2654D6F8D6C93C7AF7B7B31A89EBF58348A349AA943332EBB39CE552DDE81FC8

FD30A2C90384BDB266971A81F97D80A2C42B4CEC5762854224E1BC5C006D007A

1D9543F7C0039F6F44C714FE8D8FD0A3F6D52FCAE2A70B4BC442F38E01E14072

1801DA172FAE83CEE2CC7C02F63E52D71F892D78E547A13718F146D5365F047C

7022F91F0534D980A4D77DF20BEA1AE53EE02F7C490EFBFAE605961F5170A580

B3CE10CC997CD60A48A01677A152E21D4AA36AB5B2FD3718C04EDEF62662CEA1

IP
77.90.153.225

ドメイン／ホスト