Digital hacker

新たに発見されたFileFixソーシャルエンジニアリング攻撃は、Metaアカウントの停止警告になりすまし、ユーザーを騙して情報窃取マルウェアStealCを無意識のうちにインストールさせるものです。

FileFixはClickFix攻撃ファミリーの新たな亜種で、ソーシャルエンジニアリング攻撃を使ってユーザーを騙し、問題の「修正」として悪意のあるコマンドをオペレーティングシステムのダイアログボックスに貼り付けさせます。

FileFixの手口は、レッドチームの研究者mr.d0xによって作成されたもので、ユーザーを説得して悪意のあるPowerShellコマンドをWindowsの「ファイル名を指定して実行」ダイアログやターミナルに貼り付けさせる代わりに、FileFixはファイルエクスプローラーのアドレスバーを悪用してコマンドを実行します。

FileFixが攻撃で使用されるのは今回が初めてではなく、以前にはInterlockランサムウェアの一団がFileFixを使用してリモート・アクセス・トロイの木馬（RAT）をインストールしていました。しかし、これらの以前の攻撃は、新しいルアーで進化させるのではなく、オリジナルのFileFixプルーフ・オブ・コンセプト（PoC）を利用していました。

新しいFileFixキャンペーン

Acronisによって発見された新しいキャンペーンは、Metaのサポートチームを装った多言語のフィッシング・ページを使用しており、受信者はMetaが共有したとされる「インシデント・レポート」を閲覧しなければ、7日後にアカウントが無効になると警告する。

しかし、このレポートは実際には文書ではなく、ターゲットのデバイスにマルウェアをインストールするために使用されるPowerShellコマンドを偽装したものである。

このフィッシング・ページでは、「コピー」ボタンをクリックしてファイル・パスのようなものをコピーし、ファイル・エクスプローラーを開くボタンをクリックし、ファイル・エクスプローラーのアドレス・バーにそのパスを貼り付けてドキュメントを開くように指示している。

しかし、「コピー」ボタンをクリックすると、実際にはスペースが追加されたPowerShellコマンドがWindowsのクリップボードにコピーされるため、ファイル・エクスプローラーに貼り付けられたときにファイル・パスだけが表示されます。

攻撃者は、”インシデント・レポート “PDFファイルへのパスをペーストしているかのようにユーザーをだますために、ペイロードの最後に変数を配置しています。

「これは、ファイルのパスだけがアドレスバーに表示され、実際の悪意のあるコマンドは表示されないようにするためです。平均的なClickFix攻撃では、これは変数の代わりに#記号を使って行われ、PowerShellはこれを開発者コメントと見なす。

“これは、ClickFixからの “#”シンボルを探すように検出を構築している誰もが、これを見逃す可能性が高いという、意図しない利点がある。”

FileFix attack impersonating Meta support
Meta サポートを装った FileFix 攻撃
ソースはこちら：アクロニス

このFileFixキャンペーンは、ステガノグラフィーを使用して、第2段階のPowerShellスクリプトと暗号化された実行ファイルを、Bitbucket上でホストされている無害なJPG画像の中に隠している点が際立っています。

第1段階のPowerShellコマンドは、ターゲットが知らずに入力すると、まず画像をダウンロードし、埋め込まれた第2段階のスクリプトを抽出します。

Second PowerShell script embedded in image
イメージに埋め込まれた2つ目のPowerShellスクリプト
ソース ：

最後のペイロードはStealC infostealerマルウェアで、感染したデバイスから以下のデータを盗み出そうとします：

  • ウェブブラウザ（Chrome、Firefox、Opera、Tencentなど）の認証情報および認証Cookie
  • メッセージングアプリ（Discord、Telegram、Tox、Pidgin）からの認証情報
  • 暗号通貨ウォレット（ビットコイン、イーサリアム、エクソダスなど）
  • クラウド・クレデンシャル（AWS、Azure）
  • VPNとゲームアプリ（ProtonVPN、Battle.net、Ubisoft）
  • アクティブなデスクトップのスクリーンショットを撮る機能。

アクロニスの報告によると、このキャンペーンは2週間にわたって複数の亜種が観察され、異なるペイロード、ドメイン、ルアーが使用されていました。

「私たちの調査を通じて、この攻撃は2週間前から何度も繰り返されていることがわかりました。

「これらの繰り返しを通じて、ソーシャル・エンジニアリングの手法と、より技術的な側面の両方の進化をたどることができます。

「おそらくこれは、攻撃者が将来的に使用する予定のインフラをテストしていることを示しているか、または攻撃者が適応と改善を学ぶために、キャンペーン途中で攻撃に追加された反復である可能性があります。

ほとんどの組織がフィッシングの手口について従業員を教育している一方で、クリックフィックスとファイルフィックスの手口は比較的新しく、進化し続けています。

アクロニスでは、これらの新しい手口と、一見無害に見えるシステムダイアログにウェブサイトからデータをコピーするリスクについて、企業がユーザーを教育することを推奨しています。

.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; object-fit: cover; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}

.ia_button {
width: 100%;
margin: 0px auto;
}
}


Picus Blue Report 2025

パイカス・ブルー・レポート2025年版はこちらパスワード・クラッキングが2倍増加

46％の環境でパスワードがクラックされ、昨年の25％からほぼ倍増。

今すぐPicus Blue Report 2025を入手して、予防、検出、データ流出の傾向に関するその他の調査結果を包括的にご覧ください。