偽CAPTCHAがターミナル操作を求めてきたら

見慣れた認証画面を悪用するTerminalFix

Microsoft Threat Intelligenceは、複数の業界に属する組織を狙うClickFix亜種「TerminalFix」を確認しました。侵害されたWebサイトには、Cloudflare CAPTCHAやTurnstileに似せたオーバーレイが表示されます。

そこで求められるのは、ブラウザー上で完結する通常の認証操作ではありません。画面の指示に従ってコマンドをコピーし、Windows TerminalまたはPowerShellで実行するよう誘導されます。コマンドはCloudflareの確認手順を装っています。

通常のCAPTCHAとの違い

一般的なCAPTCHAは、チェックボックスを選んだり、表示された課題に回答したりと、Webページ内で操作が完了します。TerminalFixはOSのターミナルを開かせ、コピーした文字列をコマンドとして実行させます。

「人間であることを確認するため」と説明されても、TerminalやPowerShellを開く必要はありません。見た目がCloudflareの画面に似ていても、コマンドの貼り付けを求められた時点で操作を中止してください。

コマンド実行後に起きること

Microsoftの分析によると、偽装されたコマンドはZIPファイルをダウンロードします。その中には正規のLockScreenContentServer.exeと、悪意のあるdui70.dllが含まれており、DLLサイドローディングに使われます。

侵入はさらに、ステガノグラフィーで隠されたペイロードの抽出とActive Directoryの偵察へ進みます。カスタムインプラントはpythonw.exe経由で動作し、画面上にウィンドウを表示しません。

次の段階でリバーストンネルが開く

インプラントはgitnow[.]dev:443へ接続し、リバースWebSocketトンネルを開きます。Microsoftは、これにより被害ネットワークを経由したSOCKS形式のTCPプロキシアクセスが可能になると説明しています。

一連の動作は、偽の認証画面だけで終わりません。ひとつのコマンド実行から、ファイルのダウンロード、DLLサイドローディング、ネットワークの偵察、リバーストンネル接続へ続く多段階の侵入です。

家族や小規模チームでも共有したい対処法

この手口は、多くの人が見慣れている認証画面をまねています。家族や小規模なチームで注意点を共有するなら、「CAPTCHAのためにターミナルを開くことはない」と伝えておくと判断しやすくなります。

WebページからTerminalやPowerShellへのコマンド貼り付けを求められた場合は、ページを閉じて実行しないでください。業務用端末では、その端末の管理者または職場のセキュリティ担当者へ報告してください。