WordPressサイト500超へサイバー攻撃、正規のJavaScript実行環境「Deno」を悪用したClickFixで情報窃取マルウェアを配布|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月18日更新日時: 2026年08月18日

WordPressサイト500超へサイバー攻撃、正規のJavaScript実行環境「Deno」を悪用したClickFix攻撃で情報窃取マルウェアを配布

セキュリティ企業Sophosのカウンター・スレット・ユニット（CTU）は、2026年6月3日・4日に確認した活動をもとに、世界で500以上のWordPressサイトが侵害され、偽のCloudflare認証プロンプトを表示するClickFix型のサイバー攻撃キャンペーンに悪用されていたことを明らかにしました。今回の手口の特徴は、正規かつデジタル署名されたJavaScript実行環境「Deno」を悪用し、セキュリティ製品による検知を回避しながら、Python製の情報窃取マルウェアを配布していた点です。

この記事のサマリー

Sophos CTUは、2026年6月3日・4日に確認した活動として、悪意あるJavaScriptが注入され、偽のCloudflare検証プロンプトを表示する状態になっていたWordPressサイトを、世界で500以上確認しました。
訪問者が侵害されたサイトにアクセスすると、偽のCloudflare検証プロンプトが表示され、通常のセキュリティ確認作業を装って、Windowsターミナルでコマンドをコピー＆実行するよう求められます。
実行されたコマンドはMSIベースの多段階のインストールプロセスを引き起こし、Windows標準のパッケージマネージャー「winget.exe」を使って、正規のJavaScript実行環境「Deno v2.3」をダウンロード・インストールします。
Denoは正規のオープンソースソフトウェアで、デジタル署名済みの配布物として提供されています。Sophosは、Denoの署名済みバイナリが、セキュリティ製品による検知の可能性を下げる効果を持つと指摘しています。
Deno経由で実行されるコードは、最終的にPython製の情報窃取マルウェア「install.pyc」を配布し、システム情報、ブラウザ・ブラウザ拡張機能のデータ、暗号資産ウォレット情報、記録されたキーストロークなどを窃取します。
攻撃者は6月23日、リモートのJavaScriptを更新し、Cloudflareの無料サービス「TryCloudflare」上にホストされたステージングURLを利用するよう変更しており、キャンペーンの継続的なインフラ更新も確認されています。

整理表

項目	内容
公表日	2026年8月12日
調査元	Sophos カウンター・スレット・ユニット（CTU）
活動が確認された時期	2026年6月3日・4日
侵害されたWordPressサイト数	500超
手口の分類	ClickFix（偽の検証・確認作業を装うソーシャルエンジニアリング）
悪用された正規ソフトウェア	Deno v2.3（デジタル署名済みのJavaScript実行環境）
インストールに使われた仕組み	Windows標準のパッケージマネージャー winget.exe
中間スクリプト	november85.cmd、Griffin20.ps1
第1段階インフラ	columbnezhjdq.com
第2段階インフラ（Deno経由で実行）	webstizkgao.com
最終的なペイロード	Python製情報窃取マルウェア「install.pyc」（162.33.177.16から取得、pythonw.exeで実行）
窃取される情報	システム情報、ブラウザ・拡張機能データ、暗号資産ウォレット情報、キーストローク
インフラの更新日	2026年6月23日（TryCloudflareを利用したステージングURLへ変更）

何が起きたか

Sophos CTUの調査によると、今回のキャンペーンでは、悪意あるJavaScriptが注入されたWordPressサイトに訪問者がアクセスすると、正規のCloudflareのセキュリティ確認画面を模した偽のプロンプトが表示されます。このプロンプトは、通常のセキュリティ検証作業を完了するためだと称して、訪問者にコマンドをコピーし、Windowsターミナル経由で実行するよう求めます。

このコマンドを実行すると、MSIベースの多段階インストールプロセスが開始されます。SophosによればこのMSIは、「november85.cmd」と「Griffin20.ps1」という追加スクリプトを実行し、最終的にWindows標準のパッケージマネージャー「winget.exe」を使って、正規のJavaScript実行環境「Deno v2.3」をダウンロード・インストールします。

正規ソフトウェアの悪用——なぜDenoが狙われたのか

Denoは、デジタル署名済みの配布物として提供されている、正規のオープンソースJavaScript実行環境です。セキュリティ研究者John Hammond Taggart氏は以前から、正規の開発者向けツールに対する信頼を利用しながらコードを実行できるという点で、Denoが攻撃者に悪用される可能性を指摘していました。Sophosは今回、Denoの署名済みバイナリが、セキュリティ製品による検知フラグが立ちにくくなる効果を持つと指摘しています。

侵害されたWordPressへの注入コードは、攻撃者が管理するインフラと通信していました。第1段階のローダーは「columbnezhjdq.com」でホストされ、Deno経由で実行される第2段階のJavaScriptは「webstizkgao.com」でホストされていました。このDenoの実行チェーンは、最終的にPython製の情報窃取マルウェア「install.pyc」を配布します。Sophosの調査では、このファイルは「162.33.177.16」から取得され、「pythonw.exe」を通じて実行されていました。マルウェアが有効化されると、システム情報、ブラウザおよびブラウザ拡張機能のデータ、暗号資産ウォレット情報、記録されたキーストロークを含む、幅広い機密情報が収集されます。

攻撃者は初回の観測後もインフラの更新を続けています。2026年6月23日には、リモートのJavaScriptを更新し、Cloudflareの無料サービス「TryCloudflare」上にホストされたステージングURLを利用するよう変更しました。このスクリプトは、当該URLから取得した内容を、Microsoft Edgeの更新プログラムに偽装したWindowsレジストリキーに保存していたことも確認されています。

ClickFixという脅威の広がり

今回の活動は、2026年を通じて確認されてきた、より大きな傾向の一部です。攻撃者はソフトウェアの脆弱性だけに頼るのではなく、利用者自身に悪意あるコマンドを実行させるという手法を、繰り返し活用しています。Hackread.comはこれまでにも、Google Meet・Microsoft Word・GitHubなどを装う偽のCAPTCHAを用いたClickFixのキャンペーンや、cmdkey・regsvr32といったWindows標準ユーティリティを悪用する事例を報じてきました。MalwarebytesやKasperskyの研究者も、StealC・Remus・NetSupport・OkoBotといったマルウェアファミリーに関連するClickFix活動を、複数の国で追跡しています。

ClickFixは、利用者自身をマルウェア実行チェーンの一部に組み込むことで成立する手口です。攻撃者がこのソーシャルエンジニアリング手法と、Windows標準ユーティリティやDenoのような正規のデジタル署名済みソフトウェアを組み合わせることで、侵入チェーンの一部がセキュリティ製品に検知されにくくなる一方、攻撃者が用意したコードを侵害済みのシステム上で実行できてしまう危険性が高まります。

なお、今回のキャンペーンとは別に、WordPress Coreに影響する脆弱性「XSS2Shell」（CVE-2026-64638）についても、Hackread.comは最近報じています。この脆弱性は、認証済みの管理者が関与する特定の条件下で、クロスサイトスクリプティング（XSS）からリモートコード実行（RCE）へ進展し得るもので、修正前には5億以上のWebサイトが影響を受けていたと推計されており、WordPress 7.0.3および対応する各系統の保守リリースで修正されています。ただし、今回のClickFixキャンペーンでこの脆弱性が悪用されたことを示す痕跡は確認されていません。

対策——Sophosの推奨事項

Sophosは組織に対し、Denoの不正利用を監視・制限すること、ユーザーが書き込み可能なディレクトリから「deno.exe」が実行されている事例を確認すること、Deno関連の永続化の仕組みを調査すること、キャンペーンに関連する悪意あるドメイン・IPアドレスをブロックすることを推奨しています。

個人の利用者にとって最も重要な警告サインは、WebサイトがCAPTCHAやセキュリティ検証の一環として、PowerShell・Windowsターミナル・コマンドプロンプトなどのコマンドラインの指示をコピー＆実行するよう求めてくる点です。こうした指示は極めて不審なものとして扱い、予期しないWebサイトのポップアップからコピーしたコマンドを実行しないようにしてください。一見正規に見える検証ページであっても、被害者自身に情報窃取の実行チェーンを実行させることを目的とした、ClickFix攻撃の一部である可能性があります。

情報システム部門が確認すべき対策ポイント

自社が運用するWordPressサイトについて、不審なJavaScriptの注入や、見覚えのないポップアップ・検証画面が表示されていないか、定期的に確認してください。
従業員に対し、Webサイト上でコマンドのコピー＆実行を求められた場合は、それがどのような文脈であっても実行しないよう、繰り返し周知してください。
winget.exeやDenoのような、正規の署名済みソフトウェアであっても、通常業務で使用しない場合はインストール・実行を制限する運用を検討してください。
エンドポイント上でDenoが実行されている場合、その実行元ディレクトリが正規のインストール先かどうか、ユーザーが書き込み可能な一時ディレクトリ等から実行されていないかを確認してください。
今回判明したインフラ（columbnezhjdq.com、webstizkgao.com、162.33.177.16等）への通信を、自社のネットワーク監視・遮断ルールに反映することを検討してください。

ClickFixの基本的な手口や対策については、当サイトのClickFix（クリックフィックス）とは？特徴や攻撃の流れ対策を解説で詳しく解説しています。また、WordPressサイトが大規模に侵害された過去の事例については6000以上のワードプレスがサイバー攻撃とハッキングの被害、Microsoftが公表したClickFixの実態調査（過去1年の初期侵入のうち47%がClickFix起点とされる統計を含む）についてはClickFix（クリックフィックス）の実像をMicrosoftが発表-新手のサイバー攻撃の実態とはもあわせてご参照ください。