今週は、Taniumのサイバー脅威インテリジェンス（CTI）チームが、新たに台頭している3つの脅威に関する最新情報をお伝えします。 まず、ClickFixと呼ばれるブラウザベースの脅威の急速な進化について検証します。 次に、悪意のある活動の急増が、脆弱性の公開に先立って発生することが多いという現象について考察します。 最後に、世界規模のPXAスティーラー攻撃キャンペーンの背後にいる、ベトナム語を話す脅威グループについて詳しく見ていきます。
「ClickFix」キャンペーンは、CAPTCHAを悪用して、気づかれないようにマルウェアを配布しています
Guardio Labsが最近発表したレポート（ ）では、「ClickFix」として知られるブラウザベースの脅威の急速な進化について考察しています。 この攻撃では、偽のCAPTCHAオーバーレイを使用して、ユーザーを騙し、クリップボードにコピーされた悪意のあるPowerShellコマンドを実行させるもので、これにより、従来のダウンロード型マルウェアの配布手法を回避しています。
や ClearFake といった従来の戦術に取って代わり、ClickFix は、侵害されたウェブサイト、マルウェアを含む広告、およびブランドを悪用した フィッシングキャンペーン を通じて拡散し、認証情報を盗み出すマルウェアを配布します。
Guardioは、その成功の要因として、ますます巧妙になるストーリー展開と、検知や防止をより困難にする高度な回避手法を挙げています。
偽のアップデートからクリップボードの脆弱性悪用まで
Guardioの調査は、「ClearFake」から始まります。これは 2024 年初頭に活動していたキャンペーンで、乗っ取られたWordPressサイトを利用して、偽のブラウザ更新通知を送りつけていました。 これらの更新プログラムは正規のものに見えましたが、実際には を通じてLumma Stealerマルウェアを配布するために利用されていました。
この戦術を基に、ClickFixがまもなく登場しました。これは、ファイルベースのペイロードから、偽装されたCAPTCHAページを利用してクリップボードを悪用するコマンドを実行する、より洗練された亜種です。
興味深いことに、偽のCAPTCHAという概念は、もともと悪意のある戦術として生まれたものではありませんでした。当初は、セキュリティ訓練演習用に設計されたレッドチームシミュレーションツールとして導入されたのです。 しかし、多くの正当な手法と同様に、この手法もすぐに脅威アクターによって採用され、悪用されるようになりました。
ClickFixの事業範囲の拡大
ClickFixは当初、広告ネットワークやマルウェア広告を通じて拡散し、広範囲に露出させることで、警戒心の薄いユーザーを標的にしていました。 しかし、攻撃者たちはより価値の高い標的を狙うにつれ、戦術を転換し、ユーザーがすでに信頼している、乗っ取られた正規のウェブサイトにCAPTCHAのペイロードを埋め込むようになりました。
その後、このキャンペーンはソーシャルメディアや開発者向けプラットフォームへと拡大し、現在では偽のプロフィールがコメント欄に、誤解を招くような推奨情報や悪意のあるダウンロードへのリンクをスパムとして投稿しています。
親しみやすいデザインによる、より巧妙なソーシャルエンジニアリング
ClickFixが成熟するにつれて、その視覚的な手法も進化してきました。 初期のバージョンはGoogleのreCAPTCHAを模倣していましたが、現在では信頼性を維持するため、Cloudflareなど他のよく知られた認証手法を模倣するようになっています。
こうした欺瞞的なオーバーレイに、緊急性を煽る要素や現実味のあるブランドイメージを組み合わせることで、攻撃者は「 」というソーシャルエンジニアリング攻撃（ ）をさらに説得力のあるものにし、ユーザーが反応する可能性を劇的に高めています。
技術の進歩とクロスプラットフォームのペイロード
ソーシャルエンジニアリングにとどまらず、ClickFixは技術面でもますます高度化しています。 現在、攻撃者はコマンドを難読化したり、動的なスクリプト読み込みを利用したり、URL短縮サービスを使ってリンクを隠したり、一見正当に見えるファイルソースにペイロードを埋め込んだりしています。
2025年6月の時点で、彼らはGoogle Scriptsプラットフォームを活用して偽のCAPTCHAページをホストし始めており、その信頼性の高い評判を悪用して、ユーザーの疑念をかわそうとしています。 一方、ペイロードはクロスプラットフォーム化が進み、現在ではWindows、macOS、Linuxを標的とすることが可能になっています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ClickFixという脅威は急速に広がり続けており、ソーシャルエンジニアリングの手口がますます巧妙化していることや、ユーザーを悪用する傾向が強まっていることを如実に示しています。
ファイルベースのマルウェアからクリップボードベースのマルウェア実行へのこの移行は、脅威の拡散手法においても大きな進化を示すものであり、セキュリティチームにとっては、ユーザーの行動とクリップボードの活動をより綿密に監視することが極めて重要となります。
Guardioは、実際のユーザーフローを模倣するようなこうした手口が、ますます危険性を増し、成功する可能性も高まっていることを私たちに改めて認識させてくれます。
CVEの公開に先立って、悪意のある活動が行われることがよくあります
GreyNoiseの最新分析『』では、興味深い傾向が明らかになっています。それは、新しい脆弱性が公表されるまでの数週間、攻撃者の活動が頻繁に活発化するということです。 本報告書では、情報漏洩前の活動に見られる反復的なパターンを特定し、早期発見によって防御側が新たな脅威への曝露を先手を打って軽減できるようになることを強調しています。
[サイバー脅威に先手を打つ――最新の検知・対応戦略が、貴社のセキュリティ体制をどのように変革できるかをご覧ください]
攻撃の急増は、差し迫った脆弱性を示唆しているのでしょうか？
GreyNoiseは、後に脆弱性が確認された技術を標的とした、スキャン、ブルートフォース攻撃、エクスプロイトといった悪意のある活動の明確なパターンを観測しました。
エッジ技術や、CVSSスケールで 6 以上と評価されたCVEに焦点を当てることで、研究者たちはこの傾向を定量的に把握し、脆弱性の公表に先立って攻撃者の関心が生じることが多いことを実証することができました。
パターンの把握：活動から情報開示まで
この仮説を検証するため、GreyNoiseはエッジテクノロジーに関連するタグ全体にわたる攻撃者の行動を分析しました。 これらのタグは、GreyNoiseがインターネット全体にわたるスキャンや攻撃トラフィックのパターンを分類・追跡するために使用する、シグネチャベースの識別子です。 これらは、スキャナー、クローラー、ブルートフォース攻撃ツール、エクスプロイトの試み、既知のCVEとの関連性といったカテゴリーにまたがっており、特にVPN、ファイアウォール、リモートアクセスツールといったエッジ技術を標的としたものが挙げられます。
有意義なデータを絞り込んだ結果、チームは 2024年9月以降、攻撃者の活動において統計的に有意な急増が 216 件確認されました。 その後、各スパイクについて、同じ技術や製品に影響を及ぼす、新たに公開されたCVEと照合を行いました。
特に注目すべきは、一致したすべてのCVEが、シスコ、シトリックス、フォーティネット、イヴァンティ、ジュニパー、ミクロティック、パロアルト、ソニックウォールの8社のエンタープライズベンダーが提供するエッジ技術に関連していたことです。
予測シグナルとしての攻撃者の行動
GreyNoiseの調査によると、攻撃者の活動が急増するのは、通常、CVEの公開の 3 ～6 週間前であることが判明しました。具体的には、3 週間前に50％、 6 週間以内に80％の活動が確認されました。
また、この報告書では、攻撃者が新たな脆弱性が公表される前に、過去の脆弱性を再び悪用する可能性がある点についても検証されており、これは意図的かつ戦略的な悪用手法を示唆するものです。 GreyNoiseは、いくつかの事例において、同じ製品に影響を与える新しい脆弱性が公表される直前に、Cisco CVE-2011-3315などの過去のCVEをめぐって活動が急増する現象を確認しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
GreyNoiseによるこの研究は、特にこれらのパターンが脆弱性の開示に関連しているという点において、攻撃者のパターンを特定することの重要性を理解する上で役立ちます。 これには、脆弱性の前兆となる悪意のある活動を特定できるよう、事後対応型の戦略から事前対応型の戦略への転換が必要となります。
また、この研究により、 の従来のパッチ適用サイクルは、多くの場合、遅すぎることも確認されています。 攻撃者の行動が、脆弱性の公開に先立って行われることが多いという事実は、脆弱性対策において、これまでとは異なるアプローチが必要となる可能性があることを示唆しています。 脆弱性の優先順位付けは、深刻度や組織への関連性だけでなく、確認されている攻撃者の関心度も踏まえて行うべきです。
GreyNoiseのレポートには、防御側に向けた有益な提言もいくつか盛り込まれています。
Telegramと関連する脅威グループが、PXA Stealerを用いた世界規模の攻撃キャンペーンを開始しました
ベトナム語を話す脅威グループが、Pythonベースのマルウェア「PXA Stealer」を利用して、大規模な情報窃取キャンペーンを開始しました。 Joint research from SentinelOne and Beazley Security reveals that the operation has led to the theft of more than 200,000 passwords, hundreds of credit card records, and over 4 million browser cookies.
Telegramを基盤とするサイバー犯罪市場と関連する、複数の州にまたがるマルウェア作戦
2024年後半に初めて確認されたこの作戦は、現在では洗練された多段階の作戦へと発展しています。 SentinelOneとBeazley Securityは、被害者の盗まれたデータの販売を仲介するTelegramベースのマーケットプレイスとの関連性を突き止めました。
主な手口としては、Haihaisoft PDF Readerなどの署名付きソフトウェアを介して悪意のあるDLLをサイドロードしたり、一般的なファイル形式を装ったアーカイブにマルウェアを埋め込んだりすることが挙げられます。 最後のペイロードである「PXA Stealer」は、パスワードからブラウザの自動入力情報に至るまで、機密データを外部へ持ち出します。
Haihaisoft によるサイドローディングとインフラの移行
2024年の後半以降、研究者たちは、この攻撃者がサイドローディングの手法を絶えず洗練させていることや、コマンド＆コントロール（C2）インフラストラクチャの変更について追跡してきました。
2025年4月 で確認された注目すべき手口の一つとして、フィッシングの手口を用いて被害者に、署名済みのHaihaisoft PDF Readerと悪意のあるDLLが同梱された圧縮アーカイブをダウンロードさせるものがあります。 実行されると、このDLLはシステムへの潜伏状態を確立し、Dropbox上にホストされていた追加のペイロードを取得しました。
この段階では、攻撃者のツールセットにおいても戦略的な転換が見られました。従来のWindows実行ファイルからPythonベースのペイロードへと移行したのです。この変化は、モジュール性を高め、検知リスクを低減しようとする意図を示唆しています。
新たな亜種により、アーカイブを悪用した高度な感染経路が導入されました
Beazley Security が確認した「 2025年7月 」の亜種では、より洗練された手口が採用されていました。 このフィッシング攻撃には、署名付きのMicrosoft Word 2013 実行ファイル、サイドロードされたDLL、および追加のペイロードを含む「-」という名前のディレクトリが含まれていました。
被害者には、著作権侵害に言及した偽の文書が表示される一方で、隠されたコマンドプロンプトが「 certutil 」を実行し、images.png という名前の偽装されたPythonスクリプトを復号化しました。
TelegramのボットとCloudflareのリレーがデータ盗難を助長しています
最後のペイロードである「PXA Stealer」は、ベトナム語を話す脅威アクターによって広く使用されています。 このマルウェアは、TelegramのBotIDを介してデータを収集・流出させ、ブラウザ、自動入力データ、認証トークン、およびChromeのアプリ固有の暗号化キーを標的としています。 また、デスクトップ型の暗号資産ウォレット、VPNクライアント、クラウドサービス、ファイル共有サービスからもファイルを収集します。
盗まれたデータはZIPファイルにまとめられ、Cloudflare Workerのリレーを介してTelegramボット経由で送信されます。 このレポートには、 標的とされたアプリケーションの詳細な内訳 およびTelegramの悪用インフラに関する情報が含まれています。
被害者学：世界的な広がりと特定の標的への集中
PXA Stealer キャンペーンに関連するアクティブな BotID を分析した結果、 4,000 件を超える個別の被害者が確認されました。 最も頻繁に標的とされている地域には、大韓民国、米国、オランダなどが挙げられます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
PXA Stealerのログによると、 62 カ国が標的とされており、サイバー犯罪がますます国境を越えたものになっていることが浮き彫りになっています。 これにより、脅威アクターがグローバルなインフラを利用してこれほど幅広い被害者を標的にしている場合、犯行の帰属の特定はより複雑になります。
PXA Stealerによって盗まれたデータは、他の多くの情報窃取型マルウェアのデータと同様に、Telegramのマーケットプレイスを通じて転売されており、ログが在庫として扱われるなど、サイバー犯罪がいかに商品化が進んでいるかを示しています。
本報告書が指摘しているように、これは脅威アクターが正当なインフラを悪用して悪意のある活動を行う、またしても典型的な事例です。 これは、行動に基づく検知の重要性を強く思い起こさせるものです。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
