「Terminal貼り付け」は危険！ 「Windows+R」コピペの次に来た新型ClickFix：セキュリティニュースアラート

ソーシャルエンジニアリング手法「ClickFix」の派生型「TerminalFix」が広がっている。Microsoftによると、利用者を偽の操作へ誘い込む点は同じだが、その誘導先が変わり、被害の性質そのものが従来型から変化したという。何が起きているのか。

[ITmedia]

　Microsoftは2026年8月28日（現地時間）、「ClickFix」の派生型となる攻撃キャンペーン「TerminalFix」を観測したと公表した。ClickFixは、偽のエラー画面や偽の認証画面を表示し、利用者自身にコマンドを実行させてマルウェアに感染させる手法だ。TerminalFixはその誘導先を変えることで、単発のマルウェア配布にとどまらない多段階の侵入を成立させている。

　従来型のClickFixは、利用者に「Windows」キーと「R」キーを押させ、「ファイル名を指定して実行」ダイアログにコマンドを貼り付けさせる。TerminalFixは、貼り付け先を「ファイル名を指定して実行」ではなくWindows TerminalまたはPowerShellに変える。Microsoftはこの変更の狙いを、複数行にわたる複雑なスクリプトを実行させやすくするためだと説明する。

TerminalFixが「単発のマルウェア」で終わらない理由

　TerminalFixで観測された攻撃は、正規のWebサイトを改ざんして偽のCloudflare Turnstile認証画面を表示するところから始まる。利用者が画面の指示に従って「検証用」のコマンドをTerminalに貼り付けて実行すると、攻撃者のサーバからファイルがダウンロードされ、感染の連鎖が動きだす。

　従来型のClickFixが情報窃取型マルウェア（インフォスティーラー）を1個投下して終わることが多かったのに対し、TerminalFixはそこで止まらない。では、この攻撃は最終的に何を組織にもたらすのか。Microsoftが特に危険だと指摘するのは、感染した1台を組織内部への侵入口に変えてしまう仕組みだ。

　TerminalFixの核心は、感染したPCを「攻撃者が社内ネットワークへ入り込むための中継点」に変える点にある。Microsoftによると、この攻撃は最終段階で、社内の任意のシステムへ攻撃者の通信を通す独自のリバーストンネル（外向きの通信を使って外部から内部へ接続する経路）を構築する。

　攻撃の連鎖は複数の段階を踏む。TerminalでダウンロードされたZIPファイルには、正規の署名付きWindows実行ファイルと、悪意あるDLLが同梱されている。正規の実行ファイルを起動すると、同じ場所に置かれた悪意あるDLLが読み込まれる。正規のプログラムに寄生する形で不正なコードを実行させるこの手口は、DLLサイドローディングと呼ばれる。攻撃は信頼された署名付きプロセスの内側で始まるため、プロセスの正当性を手掛かりにする防御をすり抜けやすくなる。

　次の段階では、攻撃者のドメインからPNG画像がダウンロードされる。画像の画素データには実行ファイルとDLLの断片が埋め込まれており、これを取り出してディスク上で再構成する。データを画像に隠す手法はステガノグラフィーと呼ばれ、通信の途中でファイルの中身を検査されても実行ファイルだと気付かれにくい。DLLは2枚の画像に分割して運ばれ、取り出した後に元画像は削除される。

　感染を持続させる仕組みも二重に用意される。レジストリの自動実行キーと、60分ごとに実行されるタスクスケジューラーの登録により、再起動後もマルウェアが動き続ける。マルウェアを置いたフォルダは、システム属性と隠しファイル属性で見えないようにされる。

　感染後、マルウェアは社内環境の偵察に入る。ドメインの信頼関係の列挙、ドメイン管理者グループの確認、「Active Directory」の利用者や端末の探索、ドメインコントローラーやデータベース、バックアップといった役割ごとに名付けられたサーバへのping送信などを実行する。Microsoftは、この偵察が、感染したPCが価値ある標的の近くにあるかどうかを見極める狙いを持つと分析している。

　最後に、攻撃者はPythonの公式配布サイトから署名付きの実行環境を持ち込み、独自の通信プログラムと組み合わせてリバーストンネルを起動する。通信はTLSで暗号化されたWebSocketとして外部のサーバへ接続するため、見掛け上は通常の暗号化Web通信と区別しにくい。

新しいのは技術ではなく「信頼の借り方」

　TerminalFixで使われる個々の技術は、目新しいものではない。DLLサイドローディングもステガノグラフィーも既知の手口だ。新しいのは、正規の署名付きバイナリとPythonの公式ランタイムという「正規のもの」を足場にして、その信頼を借りながら侵入を進める組み立て方にある。

　Windows Terminalへの誘導も同じ発想だ。従来型が使う「ファイル名を指定して実行」は1行のコマンドしか扱えないが、Terminalなら複数行のスクリプトをそのまま実行できる。Microsoftによると、この誘導先の変更が、複雑なスクリプトを最後まで実行させる成功率を押し上げている。

　ここで重要なのは、Microsoftが観測したのは侵入と偵察、通信経路の構築までであり、その先の行動は確認していないと明言している点だ。Microsoftは、リバーストンネルと偵察の組み合わせが、感染したPCから社内の別のシステムへ到達する土台になり得ると指摘する。一般に、この種の侵入の後には、攻撃者が手作業で権限昇格やデータ窃取、ランサムウェア展開に進む段階が続く。ただしTerminalFixの分析範囲でそれらが実行された事実は観測されていない。

　Microsoftは、TerminalFixへの対策として、標準ユーザーのPowerShell実行をAppLockerやグループポリシーで制限すること、業務で不要な場合は「ファイル名を指定して実行」の利用を制限すること、そして偽のCAPTCHA画面でコマンドの貼り付けを促す手口を利用者に周知することを挙げる。加えて、Windows Terminalには、貼り付けようとするテキストが複数行にわたる場合に利用者へ警告する設定がある。TerminalFixが複数行スクリプトの実行を狙う以上、この警告は入り口での気付きにつながる。