「人間であることを確認」が攻撃の入口に、偽CAPTCHAを悪用するTerminalFixに注意

2026年8月30日、The Hacker Newsは、Microsoftが新たに分析したClickFixの亜種「TerminalFix」について報じました。TerminalFixでは、侵害されたWebサイト上に偽のCloudflare CAPTCHA認証画面を表示し、訪問者にWindows TerminalやPowerShellを開いてコマンドを貼り付けさせます。コマンドが実行されると複数段階の処理を経て端末内部に不正な機能が展開され、最終的には感染端末を経由して組織内部のシステムへ通信できるリバーストンネルが構築される可能性があると報告されています。

The Hacker News：TerminalFix Uses Fake Cloudflare CAPTCHAs to Deploy Reverse-Tunnel Backdoor

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

Windows TerminalまたはPowerShellを利用できるWindows端末
侵害されたWebサイトを閲覧し、表示された指示に従ってPowerShellコマンドを実行してしまった端末
Active Directoryドメインに参加しているWindows端末および企業ネットワーク
Windowsの正規実行ファイル「LockScreenContentServer.exe」を悪用したDLLサイドローディングが成立する環境
感染端末から社内サーバーや他のネットワーク機器へ通信可能な企業環境

MicrosoftおよびThe Hacker Newsの公開情報では、特定のWindowsバージョンだけに影響する脆弱性としては説明されていません。今回の攻撃は、Windowsの未修正脆弱性を直接悪用するものではなく、ユーザーにコマンドを実行させるソーシャルエンジニアリングを起点としている点に注意が必要です。

推奨される対策

WebサイトのCAPTCHAや本人確認画面から、Windows Terminal、PowerShell、「Win＋R」などを開いてコマンドを貼り付けるよう要求された場合は実行しないでください。
従業員にClickFix型攻撃の手口を周知し、「認証のためにコマンド操作を要求するWebページ」を警戒するよう教育してください。
AppLocker、Application Control for Windows、グループポリシーなどを利用し、一般ユーザーによるPowerShell実行を必要に応じて制限してください。
業務上不要な場合は、Windowsの「ファイル名を指定して実行（Win＋R）」の利用制限または監査を検討してください。
PowerShell Script Block Loggingを有効化し、難読化されたスクリプトや不審なコマンドの実行を確認できる状態にしてください。
LockScreenContentServer.exeが通常とは異なるパスから実行されていないか監視してください。
レジストリのRunキーやスケジュールタスクに不審な永続化設定が追加されていないか確認してください。
感染が疑われる端末については、単体のマルウェア感染として処理せず、社内ネットワークへの横展開や認証情報へのアクセス有無まで調査してください。
感染端末から利用可能だった認証情報については、必要に応じてパスワード変更や認証情報のローテーションを行ってください。

特に今回の攻撃では、ユーザーの操作後に感染端末が組織内部へアクセスするための中継地点として利用される可能性があります。そのため、不審なPowerShell実行を検知した場合は、端末だけを確認して対応を終了するのではなく、その端末から行われた内部通信やActive Directoryへのアクセスも確認することが重要です。

この記事に出てくる専門用語

TerminalFix：Microsoftが報告したClickFixの亜種です。従来のClickFixが主にWindowsの「ファイル名を指定して実行」へコマンドを入力させていたのに対し、TerminalFixではWindows TerminalやPowerShellへコマンドを貼り付けさせる手法が確認されています。
ClickFix：偽のエラー画面やCAPTCHAなどを表示し、問題を解決するための操作であるかのように装って、利用者自身に悪意のあるコマンドをコピー・実行させるソーシャルエンジニアリング型の攻撃手法です。
DLLサイドローディング：正規のプログラムが読み込むDLLという部品を攻撃者が用意した不正なDLLに置き換えたり、同じ場所へ配置したりすることで、正規プログラムを経由して不正コードを動作させる手法です。
ステガノグラフィ：画像など、一見すると通常のデータの内部に別の情報を隠す技術です。TerminalFixでは、PNG画像のデータ内部に次の攻撃段階で使用するデータを隠す方法が報告されています。
Active Directory：企業のWindows環境で、ユーザー、PC、サーバー、権限などを一元的に管理する仕組みです。今回の攻撃では、ドメイン管理者やコンピューター、ユーザーなどに関する情報を調査する活動が確認されています。
C2（Command and Control）：攻撃者が侵害した端末へ命令を送ったり、端末から情報を受け取ったりするための通信基盤を指します。
リバーストンネル：感染した端末側から攻撃者のサーバーへ通信経路を作り、その経路を利用して外部の攻撃者が内部ネットワークへアクセスできるようにする仕組みです。今回のTerminalFixで特に警戒すべき機能の一つです。

偽のCAPTCHAが攻撃の入口に

TerminalFixの特徴は、マルウェアそのものを直接ユーザーにダウンロードさせるのではなく、正規のセキュリティ確認に見える操作を利用してユーザー自身に攻撃を開始させる点です。Microsoft Threat Intelligenceによると、攻撃者は侵害したWebサイト上へCloudflare Turnstileを模した偽の認証画面を表示します。ページを訪れたユーザーがその画面を操作すると、不正なPowerShellコマンドがクリップボードへコピーされ、その後の画面ではWindows TerminalまたはPowerShellを開いてコマンドを貼り付けるよう誘導されます。

従来から確認されているClickFixでは、「Win＋R」で開くWindowsの実行ダイアログへコマンドを入力させるケースが知られています。一方、TerminalFixではTerminalやPowerShellを利用することで、より複雑な複数行のスクリプトを実行させやすくなっているとMicrosoftは分析しています。CAPTCHAは本来、自動化されたアクセスと人間による操作を区別するために広く利用されているため、利用者が警戒しにくい点もこの手法の特徴です。

ただし、通常のWebサイトがCAPTCHA認証のために利用者へPowerShellを開かせ、Webページからコピーしたコマンドを実行させる必要はありません。「人間であることを証明する」「エラーを修復する」などの理由でOSのコマンド操作を要求された場合、その時点で操作を中断することが重要です。

PowerShell実行後に始まる多段階の侵入

ユーザーがTerminalFixの指示に従ってPowerShellコマンドを実行すると、攻撃は複数の段階を経て進行します。報告された攻撃では、まず攻撃者側のインフラからZIPアーカイブがダウンロードされます。このファイルには、正規のWindowsバイナリである「LockScreenContentServer.exe」と、不正なDLL「dui70.dll」が含まれていました。攻撃者は両者を組み合わせ、正規プログラムから不正なDLLを読み込ませるDLLサイドローディングを行います。

その後、不正DLLからPowerShellが実行され、外部ドメインからPNG画像が取得されます。しかし、この画像は単なる画像ファイルではなく、画像を構成するデータ内部に次の攻撃で利用するプログラムの一部が隠されています。こうしたデータ隠蔽技術はステガノグラフィと呼ばれます。取得したデータは端末上で再構成され、攻撃の次の段階へ利用されると報告されています。

さらに、攻撃コードが再起動後も動作し続けるよう、WindowsのRegistry Runキーとスケジュールタスクの双方を利用した永続化も行われます。Microsoftによると、スケジュールタスクではLockScreenContentServer.exeを60分間隔で再実行する設定が確認されています。複数の仕組みを組み合わせることで、単純に一つのファイルを削除しただけでは不正な動作が停止しない可能性があります。

このため、TerminalFixが疑われる場合は、ダウンロードされたファイルだけでなく、プロセス実行履歴、レジストリ、スケジュールタスク、不審なPowerShellの履歴などを含めて調査する必要があります。

感染端末から社内ネットワークを調査

TerminalFixの攻撃が単なる一台のPCへのマルウェア感染で終わらない理由として、感染後に組織内のネットワーク情報を詳しく調査する機能が確認されている点が挙げられます。Microsoftの分析では、感染端末からシステム情報を収集するほか、Active Directoryに対してドメイン間の信頼関係、ドメイン管理者グループ、ユーザー、コンピューターなどを調査する処理が確認されています。

さらに、名前が特定されたサーバーへPingを実行し、内部ネットワーク上で到達可能なシステムを確認する動作も報告されています。こうした調査によって、攻撃者は感染したPCがどのような企業ネットワークに接続されているのか、重要なサーバーへ接続できる可能性があるのかを把握しやすくなります。

Microsoftは、この活動について、侵害端末が攻撃者にとって価値のある環境に存在するかを確認するための事前調査として機能する可能性を指摘しています。特にActive Directoryへ参加している端末の場合、端末そのものに保存された情報だけではなく、組織内のアカウントやサーバーなどへ攻撃範囲が広がる可能性を考慮する必要があります。

企業のセキュリティ担当者は、不審なPowerShell実行だけでなく、通常のユーザー端末から大量のActive Directory照会やドメイン管理者情報の列挙、複数サーバーへのPingなどが発生していないかを確認することも、早期検知につながります。

リバーストンネルで感染端末が「社内への入口」に

Microsoftが今回のTerminalFixで特に重要な機能として報告しているのが、Pythonで作成された独自のリバーストンネル機能です。攻撃コードは端末上にPython環境と「client.py」と呼ばれるプログラムを展開し、感染端末側から攻撃者が管理するサーバーへ暗号化されたWebSocket通信を確立します。

この通信経路を利用すると、攻撃者側のサーバーから、感染端末がネットワーク上で到達できる別のホストやポートへTCP通信を中継できるとされています。つまり、感染端末そのものを直接操作するだけではなく、そのPCを企業ネットワーク内部へ接続するための中継地点として利用できる可能性があります。

通常、企業の内部システムはインターネットから直接接続できないようファイアウォールなどで保護されています。しかし、すでに社内ネットワークへ接続している端末から外向きに通信経路が作られると、その端末を経由して内部システムへアクセスされる可能性があります。このためMicrosoftは、TerminalFixの痕跡が確認された端末を潜在的なネットワーク上の「pivot point（中継地点）」として扱い、横展開や認証情報へのアクセスが行われていないかを調査するよう推奨しています。

なお、Microsoftは今回分析した攻撃チェーンにおいて、その後の権限昇格、セキュリティ機能の無効化、機密情報の持ち出し、ランサムウェア展開までを実際に観測したとはしていません。これらは、このようなネットワークアクセスを取得した攻撃者が後続段階で実行し得る活動として説明されています。「TerminalFixに感染すると必ずランサムウェア被害が発生する」という意味ではない点には注意が必要です。

企業に求められるのは「コマンドを貼り付けない」仕組みづくり

TerminalFixへの対策では、マルウェアを検知する技術だけでなく、ユーザーがWebページから指示されたコマンドを実行できる環境そのものを見直すことが重要です。Microsoftは、AppLocker、Application Control for Windows、グループポリシーなどを利用し、一般ユーザーによるPowerShell実行を必要に応じて制限することを推奨しています。また、業務で不要な環境ではWindowsの「Win＋R」の利用を制限または監査することも対策として挙げています。

PowerShellを業務で利用する必要がある組織では、全面的に禁止するのではなく、実行できるユーザーやスクリプトを制御するとともに、Script Block Loggingなどを有効化して実行内容を記録する方法が考えられます。Microsoftは、Constrained Language Modeや実行ポリシーなどを追加の制御策として利用することも案内しています。

同時に、人への対策も欠かせません。CAPTCHA、ブラウザエラー、アップデートなどを装い、「Win＋Rを押す」「PowerShellを開く」「クリップボードの内容を貼り付ける」と指示する攻撃は、正規ツールをユーザー自身に操作させるため、単純なファイル添付型マルウェアとは異なる判断が求められます。従業員教育では「不審なファイルを開かない」だけでなく、「Webページの指示でOSのコマンドを実行しない」というルールまで明確にすることが有効です。

万が一、不審なコマンドを実行してしまった場合には、その端末を単に初期化して終了するのではなく、認証情報の漏えい、Active Directoryへの不審な照会、他システムへの通信、リバーストンネルの形成なども確認する必要があります。早い段階で侵入範囲を把握し、必要な認証情報を変更することが、被害拡大を防ぐうえで重要になります。

出典：Microsoft Security Blog

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）