ClickFixキャンペーンがRedline Stealerに繋がる仕組み

概要

Okta 脅威インテリジェンスは、欺瞞的なCAPTCHAページを利用して、さまざまな悪意のあるペイロードを配布する進化するサイバー脅威を観測しました。

これらのキャンペーンは、「ClickFix」または「Prove You Are Human」キャンペーンと呼ばれることが多く、ユーザーの信頼と問題解決の本能を悪用して、従来のセキュリティ対策を回避します。

ClickFix攻撃は通常、悪質な広告（ユーザーが有料検索結果をクリックするように誘導される）またはフィッシングE メール内のリンクから始まり、どちらもユーザーを有名なブランドを偽装したWebサイトにリダイレクトします。

攻撃者は、正当なセキュリティチェックを装って、悪意のあるコマンドを実行するようにユーザーを操作しようとします。これらのコマンドを実行するユーザーは、システムの侵害、データの盗難、およびマルウェアをエンドユーザーのデバイスに配信できるようにします。

Okta Threat Intelligenceは、欺瞞的なCAPTCHA認証ページを悪用し、Oktaブランドを標的とするClickFixキャンペーンを特定し、分析しました。Oktaは、必要に応じて削除要請を提出し、その他の疑わしいドメイン（付録Aの侵害指標を参照）を様々なサードパーティのレピュテーションサービスに報告しました。

ClickFixキャンペーンの主な目的は、いくつかの認証情報窃取マルウェアおよびリモートアクセス型トロイの木馬（RAT）を配信することです。これらのマルウェアファミリは、認証情報、Webデータ、およびユーザーデバイスに保存された暗号通貨ウォレットの詳細を含む機密情報を収集するように設計されており、金融詐欺や侵害されたシステムへの不正アクセスを可能にします。

Okta 脅威インテリジェンスは、ClickFixフィッシングサイトによって展開されているマルウェアファミリの多様性が、これらのキャンペーンが「Crime-As-A-Service」（CaaS）エコシステムの一部であることを示していると評価しています。これらの市場では、攻撃者は特定のマルウェア「ギャング」が単一のマルウェア亜種を展開するために排他的に活動するのではなく、サードパーティのサービスに、被害者（各被害者は「ロード」と呼ばれる）にマルウェアの選択を配信するために料金を支払います。

これらの攻撃の巧妙さは増しており、地下フォーラムでの宣伝や悪意のあるインフラの再利用など、ユーザーの意識向上と侵害されたデバイスへの迅速な対応能力の必要性が浮き彫りになっています。

脅威分析

初期アクセスを目的としたソーシャルエンジニアリング

ClickFixキャンペーンは、自動化されたセキュリティ対策を回避するために、人的なインタラクションに依存しています。攻撃チェーンは通常、いくつかの明確な段階を経て展開されます。

この侵害は多くの場合、油断ならないユーザーを誘い込む悪意のある検索エンジンの広告から始まります。

たとえば、ツールや組織のHRポータルに関する検索クエリで、悪意のあるサイトに誘導する広告が表示される可能性があります。

脅威対策

当社の対応
当社は、この脅威を軽減するために、次の活動に積極的に取り組んでいます。

• Oktaブランドを模倣したClickFixキャンペーンに関連する、新しく登録されたフィッシングドメインとインフラストラクチャを継続的に監視します。
• 特定された悪意のあるサイトのテイクダウンリクエストを開始するために、関係するレジストラおよびホスティングプロバイダーに不正行為の報告を積極的に提出しています。
• 組織がOkta環境のセキュリティを強化し、侵害された可能性のあるアカウントに関連する不審なアクティビティを調査するための支援とガイダンスを提供します。

保護制御

顧客への推奨事項

• エンドポイント管理ツールで管理され、エンドポイントセキュリティツールによって保護されているデバイスに対して、機密性の高いアプリケーションへのアクセスを制限します。また、Okta Advanced Posture Checks (現在早期アクセス) を使用して、MacOSデバイスで利用可能な追加の衛生検出の範囲を評価することもお勧めします。機密性の低いアプリケーションへのアクセスについては、登録済みのデバイス（Okta FastPassを使用）で、基本的な衛生状態の指標を示すものを要求します。
• 既知の悪意のあるサイトへのユーザーアクセスを防止する、境界コントロール（E メールおよびWebフィルタリング）を実装します。
• Windows管理者は、エンドユーザーデバイスでの信頼できるデジタル署名されたPowerShellスクリプトの実行を許可リストに登録し、その他すべてを拒否することを検討する必要があります。
• 分離／管理されたブラウザソリューションを使用している場合は、ブラウザから特定のApplication （アプリケーション）（クリップボードやコマンドラインツールなど）へのコンテンツのコピーアンドペーストを制限できるかどうかを検討してください。
• ユーザーをフィッシング耐性のある認証器に登録し、ポリシーでフィッシング耐性を強制します。Okta認証ポリシーを使用して、顧客が構成可能なさまざまな前提条件に基づいてユーザーアカウントへのアクセスを制限することもできます。ほとんど使用されていないネットワークからのリクエスト、またはアプリケーションへのアクセスリクエストが以前に確立されたユーザーアクティビティのパターンから逸脱した場合、拒否するか、より高い保証を要求します。
• ユーザーに、疑わしいE メール、フィッシングサイト、およびClickFix攻撃などの一般的なソーシャルエンジニアリングの手口の兆候を特定するようにトレーニングします。CAPTCHA応答またはブラウザの更新に何が期待されるかを理解させ、システムツール（ターミナル、PowerShellなど）を使用して異常な手動手順を実行するように指示するメッセージに注意するように促します。エンドユーザー通知と不審なアクティビティの報告を構成して、ユーザーが潜在的な問題を簡単に報告できるようにします。

フィッシングインフラストラクチャの監視と対応：

• アプリケーション・ログ（Oktaログ、Webプロキシ、E メール・システム、DNSサーバー、ファイアウォール）で、そのような疑わしいドメインとの通信の証拠がないか確認する。
• ドメインを定期的に監視して、コンテンツが変更されているかどうか確認してください。
• ドメインでホストされているコンテンツが著作権または法的マークに違反している場合は、証拠を提供し、ドメインレジストラやWebホスティングプロバイダーに削除リクエストを発行することを検討してください。

付録A：侵害指標

これは現在も進行中の調査であり、キャンペーンの展開に伴い、追加のIOCが特定される可能性があります。組織は、警戒を怠らず、推奨される軽減戦略を実行することが推奨されます。以下に確認されたIOCを示します。