偽CAPTCHAから社内網へ、TerminalFixは逆トンネルを残す

Microsoft Security Researchの8月28日の分析 は、侵害済みWebサイトの偽Cloudflare CAPTCHAから始まり、Windows端末を社内ネットワークへの中継点に変える「TerminalFix」キャンペーンを公表した。利用者にPowerShellコマンドを実行させ、画像に隠したペイロード、端末への永続化、Active Directory（AD）偵察を経て、暗号化WebSocketによる逆トンネルを設置する多段攻撃である。

BleepingComputerの8月31日報道 も、実環境で見つかった攻撃が侵害端末から到達可能な内部IPアドレス、ホスト名、ポートへの接続を中継できると伝えている。ただし、Microsoftが解析した攻撃チェーンでは、その後の横展開、情報窃取、ランサムウェア展開は観測されていない。管理者は偽CAPTCHAの目撃だけで判断せず、PowerShell、通常外の場所から動く正規プログラム、永続化設定、外向きWebSocketを一続きの痕跡として調べる必要がある。

ClickFixとの違いは、侵入後に社内網への足場を作ること

TerminalFixはClickFixと無関係な手口ではなく、その亜種として観測された。人間確認を装うページが悪意ある命令をクリップボードへコピーし、利用者自身に実行させる点は共通する。従来のClickFixがWindowsの「ファイル名を指定して実行」を使わせることが多いのに対し、TerminalFixはWindows TerminalまたはPowerShellへ誘導し、複雑な複数行スクリプトを実行しやすくする。

違いを決定づけるのは後続ペイロードだ。Malwarebytesの9月1日の解説 は、情報窃取型マルウェアに至ることが多いClickFixに対し、TerminalFixはドメインを意識した偵察の後、複数のTCP接続を一本の暗号化通信で運べる逆トンネルを導入すると整理している。つまり、感染端末内のデータだけでなく、その端末から見える社内システムへ接続する足場を残す。

第1段階：偽CAPTCHAがPowerShell実行を利用者に委ねる

入口は、侵害されたWebサイトに重ねて表示される偽のCloudflare Turnstile画面だ。利用者が確認欄を操作すると悪意あるコマンドがクリップボードへコピーされ、Windows TerminalまたはPowerShellを開いて貼り付けるよう案内される。正規のCAPTCHAがブラウザー外でコマンドの実行を求めることはないため、この指示自体が明確な警戒点となる。

実行されたPowerShellはCloudflareの確認処理らしい文言を表示しながら、攻撃者の設備からZIPを取得してC:\ProgramData配下へ展開し、バッチファイルを起動する。ZIPには署名付きの正規Windows実行ファイルLockScreenContentServer.exeと悪意あるdui70.dllが含まれ、同じ場所に置いたDLLを正規プログラムへ読み込ませるDLLサイドローディングが使われる。

最初に照合すべきなのは、ブラウザー操作直後のpowershell.exeまたはWindows Terminalの起動、長い貼り付けコマンド、C:\ProgramData配下へのZIP展開、バッチファイルとLockScreenContentServer.exeの連続実行である。入口のページを閉じても、コマンドを実行済みなら侵入処理は止まったとは限らない。

第2段階：PNGからペイロードを復元し、二つの永続化を作る

サイドロードされたDLLは、攻撃者管理下のドメインから3枚のPNGを取得する。PowerShellは画像のピクセル値から実行ファイルと二分されたDLLを取り出し、端末上で再構成する。元の画像は抽出後に削除されるため、画像通信を許可されたコンテンツとして見るだけでは後続処理を見逃し得る。

永続化にはHKCUのRunキーとスケジュールタスクが併用され、タスクはLockScreenContentServer.exeを60分間隔で再実行する。正規のファイル名や署名だけで安全と判断せず、本来のC:\Windows\SystemApps以外から同ファイルが動いていないか、同じディレクトリにdui70.dllが存在しないかを確認する必要がある。

端末上では、次の痕跡を時刻順に結び付けると攻撃経路を絞り込みやすい。

1. ブラウザーからTerminalまたはPowerShellへ移った時刻を特定する。
2. C:\ProgramData配下に新設された不審なフォルダー、ZIP、バッチファイルを調べる。
3. LockScreenContentServer.exeの実行場所と、同居するdui70.dllを確認する。
4. HKCUのRunキーと新規スケジュールタスクを照合する。
5. PNGの取得と、その直後に生成された実行ファイルやDLLを関連付ける。

第3段階：AD偵察で中継先の候補を探す

永続化後、TerminalFixは侵害端末がドメイン参加環境にあるか、価値の高い内部設備へ到達できるかを調べる。観測された処理には、ドメイン信頼関係、Domain Adminsのメンバー、AD上の利用者とコンピューターの列挙、利用者の説明欄やシステム情報の収集が含まれる。

さらに、ドメインコントローラー、データベース、バックアップ、ゲートウェイ、メールといった役割を示す名前のサーバーへpingを送り、内部ネットワークを探索する。ここで見つけた到達可能なシステムは、後段の逆トンネルから接続する候補になり得る。

AD照会やpingは正規の管理作業でも発生するため、単独では感染を確定できない。通常は管理作業をしない端末による管理者グループの列挙や連続したAD照会を、不審なPowerShell、DLLサイドローディング、永続化作成と同じ端末・利用者・時間帯で確認することが判断材料になる。

第4段階：外向きWebSocketが社内接続を中継する

最終段階では、攻撃者が正規の組み込み用Pythonランタイムと独自のclient.pyを持ち込み、画面を表示しないpythonw.exeで起動する。クライアントは侵害端末から外部のC2へTLSの443番ポートで接続し、WebSocketへ切り替える。外部から新しい着信接続を開くのではなく、内部端末が一般的な暗号化Web通信に見える外向き接続を始める構造だ。

トンネルはSOCKS5形式のアドレス処理に対応し、IPv4、IPv6、ホスト名とポートを指定した任意のTCP接続を中継する。独自プロトコルにより一本のWebSocket上で複数の接続を多重化し、接続ごとに実在のブラウザーに似たUser-Agentを切り替える。これにより、外部の操作者は侵害端末から到達可能な社内システムへ接続できる。

通信調査では、pythonw.exeとclient.pyの新規配置、通常Pythonを使わない端末へのランタイム導入、443番ポートへの継続的なWebSocket、ブラウザー以外のプロセスが送るブラウザー風User-Agentを確認する。Microsoftの観測例ではgitnow[.]dev:443がC2に使われたが、既知ドメインの遮断だけでなく、単一の外向き通信と複数の内部接続が同時に続く挙動も検知対象になる。

確認項目は端末、ID、通信をまたいで優先する

確認の優先順位は、利用者の操作、端末上の永続化、AD偵察、ネットワーク中継の順である。偽CAPTCHAの報告がなくても、後段の痕跡から遡れる。逆に入口だけが確認された場合も、PowerShell実行の有無を確かめずに調査を終えるべきではない。

• 利用者操作：ブラウザー直後に起動したTerminalまたはPowerShell、クリップボードから貼り付けられた複数行コマンド。
• 端末上の永続化：通常外の場所にあるLockScreenContentServer.exeとdui70.dll、HKCUのRunキー、新規タスク、60分間隔の再実行。
• AD偵察：ドメイン信頼、Domain Admins、利用者・コンピューター情報の列挙、役割名を推測したサーバーへのping。
• ネットワーク中継：pythonw.exeからの外向きTLS WebSocket、ブラウザー風User-Agent、同じ端末から複数の内部ホストへ向かうTCP接続。

侵害が確認された端末は、単なるマルウェア感染端末ではなく潜在的なネットワーク中継点として隔離する必要がある。隔離後は、その端末からの内部接続、AD照会、認証情報へのアクセスを調べ、端末から利用可能だった認証情報は露出状況に応じてローテーションする。

予防と検知では、AppLocker、Application Control、グループポリシーなどによる標準利用者のPowerShell実行制限と、PowerShell Script Block Loggingの有効化が中心になる。WebページがTerminal、PowerShell、コマンドプロンプトや「ファイル名を指定して実行」への貼り付けを求める行為も、利用者教育と監視に共通するシグナルとして扱える。

現時点で確認された範囲は、偽CAPTCHAから逆トンネル設置までである。横展開やランサムウェア展開をTerminalFixの確認済み被害とは断定できない一方、逆トンネルが稼働すれば内部システムへ接続する条件は整う。組織には端末の駆除だけでなく、侵害期間中の内部通信と認証情報の露出まで追跡する対応が求められる。