CORNFLAKE.V3 バックドア
脅威アクターは、高度なバックドア「CORNFLAKE.V3」を拡散するために、「ClickFix」と呼ばれる欺瞞的な手法をますます悪用しています。UNC5518と命名されたこの活動を追跡しているセキュリティ研究者は、この活動が、偽のCAPTCHAページで被害者を誘導し、悪意のあるコマンドを実行させる「アクセス・アズ・ア・サービス（AaaS）」活動に関連していることを突き止めました。アクセスが取得されると、そのアクセスは転売されるか、他のサイバー犯罪グループと共有され、さらなる悪用が試みられます。
目次
攻撃の始まり
感染連鎖は、多くの場合、SEO対策された検索結果や悪質な広告にユーザーが接触した際に始まります。被害者は、CloudflareのTurnstileなどの正規のサービスに似せて設計された偽のCAPTCHA認証ページにリダイレクトされます。認証チャレンジをクリアしていると思い込んでいるユーザーは、悪質なPowerShellスクリプトをWindowsの「ファイル名を指定して実行」ダイアログボックスにコピー＆ペーストするよう誘導され、攻撃者に必要な足掛かりを与えてしまいます。
脅威アクターの関与
UNC5518 キャンペーンから盗まれたアクセスは、少なくとも 2 つの異なるグループによって利用されています。
- UNC5774 – 金銭目的の攻撃者が CORNFLAKE を配信し、追加のペイロードを展開します。
- UNC4108 – 動機が不明なグループ。PowerShell を使用して VOLTMARKER や NetSupport RAT などのマルウェアをドロップすることが確認されています。
これは、ClickFix がさまざまな悪意のあるフォローアップ活動のゲートウェイとして機能する様子を示しています。
CORNFLAKE.V3の内部
CORNFLAKE.V3バックドアは、JavaScriptとPHPの両方の亜種に存在します。その目的は以下のとおりです。
- 実行可能ファイル、DLL、JavaScript、バッチ ファイル、PowerShell コマンドなど、さまざまなペイロードを HTTP 経由で実行します。
- 基本的なシステムデータを収集し、Cloudflare トンネルを介して攻撃者が管理するサーバーに送信して隠蔽します。
ダウンローダーとしてのみ機能していた前身のV2とは異なり、V3はWindowsレジストリのRunキーを変更することで永続性を実現し、より幅広いペイロードをサポートしています。少なくとも以下の3つのペイロードがV3を通じて配布されています。
- Active Directory偵察ツール
- 認証情報の盗難のためのKerberoastingスクリプト
WINDYTWIST.SEAは、リバースシェルアクセス、TCPトラフィック中継、横方向の移動などの機能を備えたCベースのバックドアです。
ClickFixが危険な理由
ClickFixの手法は、人間の介入を強く必要とするため、サイバー犯罪者の間で勢いを増しています。ユーザーは、多くの自動化されたセキュリティツールを回避しながら、自らコマンドを実行するように仕向けられます。一般的な配信ベクトルには、以下のようなものがあります。
- フィッシングメール
- マルバタイジングキャンペーン
- ドライブバイウェブサイトの侵害
信頼性を高めるために、攻撃者はよく知られているブランド、Cloudflare チェック、さらには Discord サーバーの検証を偽装することがよくあります。
ClickFixキットの商品化
2024年後半以降、ClickFixビルダーがアンダーグラウンドフォーラムに登場し、「Win + R」キットとして販売されています。価格は機能に応じて通常月額200ドルから1,500ドルです。ソースコード、ランディングページ、コマンドラインスクリプトなどの個々のコンポーネントは、200ドルから500ドルで個別に販売されることがよくあります。
一部の高度なキットでは、ClickFix ビルダーが他のマルウェア ローダーとバンドルされており、次の機能が提供されます。
- さまざまなルアーを備えた既製のランディングページ
- ウイルス対策の検出を確実に回避するコマンド
- 永続化とSmartScreen回避のオプション
防御策
ClickFixベースの感染に対抗するには、組織はプロアクティブな防御策を導入する必要があります。推奨される対策は以下のとおりです。
- 可能な場合は、Windows の実行ダイアログを制限または無効にします。
- 定期的にフィッシングおよびソーシャル エンジニアリングのシミュレーションを実施して、ユーザーをトレーニングします。
- 異常な PowerShell またはスクリプトの実行を迅速に検出するための堅牢なログ記録と監視を実装します。
予防と早期検出の両方に重点を置くことで、組織は ClickFix および CORNFLAKE.V3 に関連するキャンペーンによってもたらされるリスクを大幅に軽減できます。
