偽のWindows Updateへ誘導するClickFix(クリックフィックス)を確認|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年11月26日更新日時: 2025年11月26日

2025年10月以降、海外で「ClickFix」と呼ばれるソーシャルエンジニアリング手法を悪用した攻撃が活発化し、LummaC2やRhadamanthysといった情報窃取型マルウェア（インフォスティーラー）が配布されていることが報告されています。

Huntressの調査で新しく確認されたキャンペーンの特徴は大きく二つあります。１つは偽のWindows Updateへ誘導する事、2つ目は最終的なマルウェアが、PNG画像のピクセル情報の中にステガノグラフィ（電子的な隠しメッセージ）として埋め込まれていることになっています

フルスクリーンの偽Windows Update画面

一定時間「更新」が進んだ後、画面には次のような指示が表示されます。

実際には、この時点で悪意ある mshta コマンドがクリップボードにコピーされており、ユーザーはそれを実行させられています。

ブラウザがフルスクリーンだと、「これはWebページであって、OSネイティブの画面ではない」という事実に気付きにくいのが現場感覚としてもよく分かる部分です。

今回のキャンペーンで特に特徴的なのは、最終的なマルウェア（インフォスティーラー）がPNG画像の中に隠されていることです。

一般的な手口では、ファイルの末尾に不審なデータを付け足すことがありますが、この攻撃ではより手の込んだ方法が使われています。

画像そのものは見た目に違和感がなく、人間の目ではほぼ判別不可能です。さらに、このPNG自体がAESで暗号化され、.NETアセンブリのリソースとして埋め込まれています。

結果として、

という二重の隠蔽が行われており、従来のアンチウイルスソフトやEDRなどのシグネチャ検知では捕捉が難しくなっています。

今回のClickFix攻撃は、入口は「Win＋Rでコマンドを貼り付けてください」という非常に単純なソーシャルエンジニアリングで裏側では、PowerShell、.NET、ステガノグラフィ、Donutパッカーを組み合わせた高度な多段ローダー

という組み合わせで成り立っています。

脅威アクターのインフラの一部は法執行機関によって停止されていますが、同じClickFixの手口は今後も別のマルウェアと組み合わされて出てくると考えるべきです。情報システム部門としては、

といった複数の防御策を組み合わせることで、ClickFix型攻撃のリスクを大きく低減できます。

参照