ホテルなどの宿泊業を狙う偽ブルースクリーンとClickFix型マルウェアによるサイバー攻撃|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年01月09日更新日時: 2026年01月18日

Securonixの脅威研究チームは2025年1月5日、PHALT#BLYXと呼ぶ継続中のマルウェアキャンペーンについて、感染までの流れと技術的特徴を解説する調査レポートを公開しました。

1 概要
2 まず何が起きるのか：攻撃の全体像（多段階チェーン）
3 防御回避
4 権限分岐：管理者なら静かに完遂、一般権限ならUAC連打で押し切る
5 最終ペイロード：DCRat（AsyncRAT系）で遠隔操作・情報窃取・追加投入
6 侵害の兆候（レポート記載の観測例）
- 6.1 代表的なファイル／パス
- 6.2 通信・インフラ（例）
7 「昔より巧妙になった」：mshtaからMSBuildへ、LotL化の狙い

概要

このサイバー攻撃の特徴は、宿泊業（ホスピタリティ）を主対象に、Booking.comを装ったフィッシングで被害者を偽サイトへ誘導し、

偽CAPTCHA→偽ブルースクリーン（BSOD）で心理的に追い込み、ユーザー自身の操作でPowerShellコマンドを実行させる「ClickFix」手口にあります。

さらに、Windowsの正規コンポーネントであるMSBuild.exe（Microsoft Build Engine）を実行の踏み台にして防御をすり抜け、最終的にDCRat（AsyncRAT系の派生として言及）の改変版を投入し、遠隔操作・情報窃取・追加ペイロード投入まで可能にする、としています。

まず何が起きるのか：攻撃の全体像（多段階チェーン）

レポートが示す感染チェーンは、被害者の「確認したい」「直したい」という行動を連続的に利用する構成です。

予約キャンセル／高額請求を装うメール
「Reservation Cancellation（予約キャンセル）」などを装い、€1,000超といった高額請求を見せて焦りを誘います。メール内の「See Details」ボタンを押すと、正規サイトではなく、中継リダイレクタ（例：oncameraworkout[.]com/ksbo）を経由して攻撃者のドメインへ転送されます。
Booking.comそっくりの偽サイト
遷移先（例：low-house[.]com）は、配色・ロゴ・フォントまで本物に寄せた高精度クローンです。予約詳細を出す代わりに「Loading is taking too long」などの偽ブラウザエラーを重ね、「Refresh page」ボタンをクリックさせます。
偽BSOD（全画面）＋クリップボード注入
ボタンを押すとブラウザが全画面化し、BSOD風の演出で対象者のパニックを誘発します。

ここで「Windowsキー＋R」「Ctrl＋V」「Enter」といった操作を指示し、Run（ファイル名を指定して実行）に貼り付けて実行させます。実際にはページ操作の時点で悪性PowerShellがクリップボードへコピーされており、ユーザーの手で実行されます。
PowerShellがMSBuild用プロジェクト（.proj）を取得し実行
貼り付け実行されたPowerShellは、（a）正規の管理画面を開いてもっともらしい挙動を見せつつ、（b）端末内でmsbuild.exeを探索し、（c）外部からv.projをダウンロードし、（d）MSBuild.exeに渡してコンパイル／実行します。正規署名のMSBuild.exeを悪用するため、単純な実行制御やホワイトリストをすり抜けやすいとされています。

防御回避

v.projが実行されると、攻撃の成功率を上げるためにWindows Defenderを弱体化させる動きが前段に置かれていると説明されています。

C:\ProgramDataを除外パスに追加し、ステージング場所を見えない領域にします。
.exe .ps1 .proj .tmpなど、拡張子単位の除外を追加します。
条件により、Set-MpPreference -DisableRealtimeMonitoring 1でリアルタイム保護停止を狙います。

ここは重要で、最終ペイロード（後述のstaxs.exe）を落とす前に検知センサーを弱め、ディスク上に着地させやすくする狙いがあると整理されています。

権限分岐：管理者なら静かに完遂、一般権限ならUAC連打で押し切る

レポートはv.projが管理者権限の有無を確認し、挙動を切り替える点を指摘しています。

管理者権限あり：Defender無効化→BITS（Start-BitsTransfer）でペイロード取得→実行→スタートアップにショートカット作成、などを“静かに”完遂します。
管理者権限なし：-Verb RunAsでUAC昇格を要求し、拒否されても**数秒おきに繰り返す（UACスパム）**ことで、ユーザーの根負けを狙います。

また、開発時のデバッグ文字列として**ロシア語（キリル文字）**が残っていた点にも触れられており、ロシア語圏の関与や、ロシア圏で流通するRATエコシステムとの近接性を示す手がかりとして扱われています。

最終ペイロード：DCRat（AsyncRAT系）で遠隔操作・情報窃取・追加投入

落とされる実行ファイルの例としてstaxs.exeが挙げられており、Securonixはこれを**DCRat（AsyncRATのフォークとして言及）**の高度難読化版だと説明しています。機能としては、以下のような点が挙げられています。

プロセスホロウイングにより、aspnet_compiler.exeなど正規プロセスを器にして実体を隠します。
キーロギングや持続的な遠隔操作が可能です。
追加ペイロード投下（例：コインマイナー）など、後段の展開も可能とされています。
C2通信はMessagePackと暗号化（AES-256、PBKDF2など）を組み合わせ、設定情報も暗号化して保持すると説明されています。

永続化手段としては、一般的なRunキーや.lnkだけでなく、Startupフォルダに.url（Internet Shortcut）を置き、file://でローカル実行させる方法を使う点が特徴とされています。DeleteApp.urlのような名称で紛れ込ませ、棚卸しの目をごまかす狙いがある、という整理です。

侵害の兆候（レポート記載の観測例）

レポートが例示した観測ポイントは次の通りです。

代表的なファイル／パス

%ProgramData%\v.proj
%ProgramData%\staxs.exe
C:\Windows\Temp\tybd7.exe
%Startup%\DeleteApp.url
%Startup%\update.lnk

通信・インフラ（例）

low-house[.]com（偽サイト）
oncameraworkout[.]com/ksbo（中継）
2fa-bns[.]com（v.proj等の取得元として言及）
C2候補：asj77[.]com / asj88[.]com / asj99[.]com
通信ポート例：3535

※これらはレポート内で挙げられた観測例であり、インフラは変化する前提で監視・ブロックを設計する必要があります。

「昔より巧妙になった」：mshtaからMSBuildへ、LotL化の狙い

Securonixは、同系列の過去サンプルがmshta.exe（.hta）による比較的単純な実行だった一方で、現在は**MSBuildを軸にしたLiving off the Land（正規ツール悪用）**へ移行したと整理しています。単純なドロッパーはAVや自動制御に止められやすく、そこで署名済みの正規ツール（MSBuild、BITS、PowerShell）を組み合わせ、さらにユーザー操作まで利用して検知と遮断を回避する方向へ進化している、としています

出典

Analyzing PHALT#BLYX: How Fake BSODs and Trusted Build Tools Are Used to Construct a Malware Infection