今週のまとめでは、Tanium CTIチームが、脅威アクターが正当なツールを悪用して悪意のある目的で利用する事例がますます増えている実態について解説しています。 続いて、GHOSTPULSEマルウェアを悪用したClickFixキャンペーンの最近の急増について検証し、その後、BlueNoroffグループによるものとされる高度な侵入攻撃について見ていきます。
サイバー攻撃者は、正当なツールを悪用します
Cisco Talosによる最近の投稿「 」では、サイバー攻撃者が悪意のある目的で正規のツールを悪用するケースがますます増えている実態について考察しています。 この拡大する傾向は、組織がツールの利用パターンを監視し、行動ベースの検知戦略を導入する必要性を浮き彫りにしています。
Cisco Talosではまず、ある個人が自社のセキュリティ情報・イベント管理（SIEM）ソリューションから検知結果の通知を受けた事例について解説します。 この検知機能は、特定のシステムツールが立て続けに実行された際に作動するように設定されていました。 一晩のうちに作動したため、さらなる疑惑が生じました。 チームはシステムを分離し、その活動を追跡することができました。
LOLBinsとは何ですか？
Cisco Talosによると、脅威アクターは「リビング・オフ・ザ・ランド・バイナリ（LOLBins）」を頻繁に悪用しています。これは、あらかじめインストールされているツールであり、追加のソフトウェアをダウンロードしたりインストールしたりすることなく、悪意のある動作を実行するために悪用される可能性があります。 これらのツールはすでにオペレーティングシステムにインストールされており、正当な目的で一般的に使用されているため、悪意のある利用を検知することは困難です。
LOLBins以外にも、攻撃者たちは商用ツールやオープンソースツールを悪用しています。 その一例として、リモートでの認証情報のダンプを自動化するオープンソースツール「DonPAPI」が挙げられます。 複数の案件において、そのことが確認されています。
[関連記事：今すぐ知っておくべき（あなたとCEOが）サイバーセキュリティ用語 15 選]
悪用されやすいツールの種類
シスコ・タロスのレポートでは、現在最も悪用されているツールについて概説しており、その中には以下のものが含まれます：
- PsExec（ ）は、MicrosoftのSysinternalsツールスイートの一部であり、ユーザーがローカルシステムとリモートシステムの両方でコマンドを実行できるようにするものです。 ランサムウェアグループは、ドメイン内の複数のシステムでペイロードを実行するために、PsExecを頻繁に利用しています。
- Impacket（ ）は、ネットワーク監査のためのオープンソースのPythonライブラリです。 攻撃者は、環境への侵入や環境内での横方向の移動に、Impacketを頻繁に利用しています。
- Mimikatz（ ）は、平文のパスワードを抽出するための認証情報ダンプ用ユーティリティです。 これは、ペネトレーションテスターやレッドチームの間で広く利用されています。 しかし、サイバー犯罪者は、 による横方向の移動を可能にするため、Mimikatzを使用してアカウントのログイン情報やその他の認証情報を盗み出すことがよくあります。。
リモートアクセス管理ツールが脅威の媒介となる場合
また、Cisco Talosは、リモート監視・管理（RMM）ツールの悪用が増加していることも発見しました。
これらのツールは通常、ITチームやMSPがサポートのためにシステムへのリモートアクセスを可能にするために使用されますが、脅威アクターが手軽なリモートアクセスに関心を持つ理由は容易に想像がつきます。 現在、攻撃者はこれらのツールを利用して、システムへの潜伏状態を維持し、検知を回避しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
正当な管理業務と悪意のある行為とを区別することが、ますます難しくなってきています。 こうした境界線の曖昧化により、従来のシグネチャベースの検知の有効性は低下し、行動ベースの検知や異常検知の重要性がさらに高まっています。
オープンソースや商用ツールを悪用した最新の攻撃に関する情報を常に把握しておくことが、この脅威から身を守るための鍵となります。
[関連記事：エンドポイントセキュリティとは？ さまざまな種類のエンドポイント保護ソリューションと、シグネチャベースの検知手法の変遷について学びましょう]
ClickFixのキャンペーンは、ますます勢いを増しています
Elastic Security Labsは、 において、ClickFixキャンペーン、特にGHOSTPULSEマルウェアローダーを利用してリモートアクセストロイの木馬（RAT）や情報窃取型マルウェアを配布するキャンペーンが増加していると報告しています。 ClickFixは 2024年初頭から活動してきましたが、最近ではその活動が活発化しています。
Elasticは、攻撃の全過程を明らかにしたキャンペーンについて詳しく説明しました。その際、関与したコンポーネント、使用された手法、そして最終的に配信されたマルウェアに焦点を当てました。
「ClickFix」攻撃とは何ですか？
ClickFix型攻撃は、 ソーシャルエンジニアリング を利用しており、正当なプロセスを装ってユーザーの信頼を築き、警戒心を緩め、危険な行動をとらせるように仕向けるものです。
例えば、この種の攻撃は、ユーザーにコードを貼り付けて実行するよう求める偽のCAPTCHAプロンプトとして現れることがあります。
ClickFix攻撃はどのように機能するのでしょうか？
Elasticが指摘しているように、ClickFixは多段階の攻撃チェーンにおける入り口となることがよくあります。 分析対象となったあるキャンペーンでは、攻撃の流れは次のようなものでした：
ステップ1：ClickFixを使ったフィッシング
- 攻撃は、Cloudflareのキャプチャ画面を模倣したフィッシングページ から始まります。
- 被害者は、PowerShellコードを貼り付けて実行するように騙されます
- このコードは、GHOSTPULSEローダー用のコンポーネントが含まれたZIPファイルをダウンロードします
ステップ 2：GHOSTPULSEローダーの有効化
- ステージ1のマルウェアとともに送信されたファイルを復号します
- 特定の稼働中のプロセスを確認する「Stage 2 」コードを抽出します
ステップ 3： ARECHCLIENT2 の展開
- ブラウザに保存されたパスワード、クッキー、および自動化データを標的としています
- システムのプロファイリングと偵察を行います
- コマンドを実行します
Elasticの調査によると、元のキャプチャページは2つのドメインでホストされており、その両方があるデジタル広告代理店に関連付けられていることが判明しました。 彼らは、攻撃者がその活動を円滑に進めるために、ドメインをホストしているサーバーを乗っ取ったに違いないと考えています。
ClickFixに関するCTIの関連レポート
ClickFixが最近のキャンペーンを通じてどのように進化してきたかについて、詳しくは以下の過去のCTIまとめ記事をご覧ください：
- 2025年4月30日： では、北朝鮮、イラン、ロシアの国家主体のアクターが、ソーシャルエンジニアリングを通じてマルウェアを配布するために、最近「ClickFix」という手法を採用している実態について解説しています。
- 2025年3月12日 に掲載： SharePoint および Microsoft Graph API を利用して、改変された Havoc Demon エージェントを密かに展開する、ClickFix スタイルのフィッシングキャンペーンについて取り上げています。
- 2024年6月26日 に掲載されました： 。この記事では、Vidar Stealer などのマルウェアを配布するために、大規模なフィッシング攻撃で ClickFix が利用されている実態について解説しています。具体的には、TA571 が偽の文書を餌に 100,000 通以上のメールを送信していたことが明らかになっています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ClickFixによる攻撃の急増は、ソーシャルエンジニアリングやマルウェアの配布手法がいかに進化しているかを浮き彫りにしています。 この手口は、被害者の信頼心と好奇心に依存しているため、発見が困難であるだけでなく、被害者がすでに教育や訓練を受けている手法よりも、被害者を騙しやすくなっています。
注目すべき点は、ClickFixが単なる低レベルのサイバー犯罪者だけでなく、より高度な国家支援を受けたグループによっても利用されているということです。 セキュリティチームには、ユーザーへの啓発に注力し、行動検知を活用して不審な活動を特定することが推奨されています。
BlueNoroffはmacOS搭載デバイスを対象としています
Huntress（ ）の研究者たちは最近、「Web3 エリア」のmacOSユーザーを標的とした、高度な侵入キャンペーンを分析しました。 ハントレスは、このキャンペーンの仕掛け人をブルー・ノロフ・グループだと指摘しています。
この攻撃では、ソーシャルエンジニアリングとトロイの木馬化されたアプリケーションを悪用し、認証情報の窃取、監視、およびシステムへの潜伏を可能にするマルウェアを展開しました。 ある脅威アクターが、従業員を騙して、同社の経営陣のディープフェイク映像が多数登場する偽装されたZoom会議に参加させたことから、事態は始まりました。
[関連記事：リモート勤務のITスタッフを採用する際は？ [ディープフェイク詐欺にご注意ください]
信頼を悪用する：偽の会議招待状を利用してアクセス権を取得する
最初の接触はTelegramを通じて行われ、攻撃者は外部の知人を装って、その従業員をライブチャットに招待しました。 そのメッセージには、Google Meetのセッションを予約するかのようだったCalendlyのリンクが含まれていましたが、実際には偽装されたZoomのドメインにリダイレクトされるようになっていました。
数週間後、その社員が会議に参加したところ、外部の連絡先に加え、自社の幹部数名のディープフェイク映像が提示されました。 ディープフェイクは、マイクが機能していないという理由で、その従業員にZoomの拡張機能をダウンロードするよう指示しました。 ダウンロードされたファイルはAppleScriptで、正規のZoom SDKのウェブページを開きながら、悪意のあるサイトからペイロードを密かにダウンロードするものでした。
Huntressによると、このスクリプトはbashの履歴記録を無効にし、Rosetta 2 がインストールされていることを確認し、ユーザーのパスワードを取得して検証しようとします。 最後に、分析を困難にするためにシェル履歴を削除します。
マルウェアの分析：ツール、戦術、およびインプラント
Huntressは、被害者のホスト上で複数の悪意のあるバイナリを特定しました。 これらのバイナリそれぞれの詳細については、 にある「Huntress」レポート（）でご確認いただけます。
- 永続化インプラント
Nim言語で記述された「Telegram 2」という名前のバイナリが、永続化メカニズムとして機能し、バックドアを起動させます。 軽量で機能は限定的ですが、echoコマンドの実行、や/bin/bash、を介したコマンドの実行、対話型シェルの起動、および永続化の確立が可能です。 - バックドア「」
Go言語で記述されたバックドア「Root Troy V4 （RTV）」は、AppleScriptのペイロードを実行して、追加のインプラントをダウンロードします。 Huntressは、デバイスのオンボーディングからホストの隔離までの間に、このコマンドが6回実行されるのを確認しました。 RTVは、システムのスリープ中を含め、リモートでのコード実行に対応しています。 - 2つの追加ペイロードを含むローダー AppleScriptペイロードを介して、「a」という名前のバイナリがダウンロードされます。 このプログラムは、別のバイナリファイルとパスワードを引数として受け取り、埋め込まれた2つのペイロードを復号し、現在のディレクトリ内のすべてのファイルをゼロで上書きすることができます。 特に、Huntressは、macOSでは珍しい2段階のプロセスインジェクション機能を、際立った特徴として強調しました：
1. 最初に復号されたペイロードは、コマンド＆コントロール通信に使用されるNimベースのインプラントです。2. 2つ目は、Swiftをベースにした最小限のアプリケーションで、おそらくインプラントの機能をサポートするために使用されるものです。 - キーロガー
攻撃者は、キーロギング、画面録画、クリップボードデータの取得を行うツール「XScreen」を展開しました。 - 情報窃取型マルウェア「」
「airmond」という情報窃取型マルウェアは、インストールされているブラウザ拡張機能をスキャンし、関連するデータを抽出することで、仮想通貨ウォレットを標的としています。 - おとりバイナリ
最終的なバイナリであるNetChkは、ほぼ空の状態です。 このシステムは絶えず乱数を生成しています。おそらく、調査中の分析官の注意をそらすための囮として機能しているのでしょう。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
BlueNoroffは、 Web3 のエコシステムを活用するために戦術を進化させてきました。 このグループが複雑なmacOSマルウェアを作成・活用できる能力は、その高度な技術力と、クロスプラットフォーム機能への注力をさらに裏付けるものです。
macOSが、特に高度な脅威アクターにとって、ますます標的として注目を集めていることは明らかです。 洗練された技術的戦術に加え、このグループはディープフェイクや高度なソーシャルエンジニアリングを活用することで、最新のサイバーセキュリティ動向にも常に注目しています。
より詳細な技術分析をお求めの方には、Huntressのレポート（ ）の方がはるかに詳しい内容となっています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
