ClickFix キャンペーンが情報窃取型マルウェアの配信に Deno ランタイムを悪用

Counter Threat Unit™ (CTU) の研究チームが、2026 年 6 月に発生した攻撃キャンペーンについて調査を行いました。このキャンペーンでは、攻撃者が ClickFix ベースの侵入チェーンにおいて、Deno JavaScriptランタイムを中核的な実行メカニズムとして利用していました。6 月 3 日と 4 日、侵害された WordPress サイトから、Cloudflare を装った ClickFix の「ルアー (おとり)」が配信され、ユーザーにクリップボード経由で提供された PowerShell コマンドの実行を促しました。このコマンドにより、MSI ベースのステージングプロセスが開始され、Deno がインストールされるとともに、リモートの JavaScript の取得と実行が可能になりました。CTU™ の分析によると、Deno はペイロードの配信、後続タスクの実行、および永続化をサポートする重要な要素として機能していました。

攻撃チェーン

ClickFix によるソーシャルエンジニアリング攻撃は、侵害された WordPress サイトのメインページに挿入された悪意のある JavaScript に依存していました。CTU の研究チームは、挿入されたスクリプトが hxxps://columbnezhjdq[.]com/goolgetagmanager.js?v=2.0&_cb=[編集により削除] を参照していることを特定しました。これは、ブラウザ環境のチェックを行った後、ステージングされた検証プロンプトと ClickFix の指示を表示していました (図 1 を参照)。挿入されたスクリプトは、調査対象となったすべてのインシデントで一貫していましたが、URL クエリ文字列で指定された _cb の値は、侵害された WordPress サイトごとに異なっていました。確認された事例では、このルアー (おとりメッセージ)により、Windows ターミナル経由で実行する PowerShell コマンドがユーザーに表示されていました。

図 1: 侵害された WordPress サイト上の Cloudflare を装った ClickFix のルアー (おとりメッセージ)

実行された PowerShell コマンドは、MSI ベースのステージングチェーンをトリガーし、ユーザーの AppData ディレクトリに書き込まれたコマンドラインおよび PowerShell コンポーネントを呼び出しました。MSI インストーラーは、Deno ランタイムのインストールとペイロード配信を行う 2 つの埋め込みスクリプト (november85.cmd、Griffin20.ps1) を実行しました。Windows ネイティブのパッケージマネージャーユーティリティ (winget.exe) が Deno ランタイムのダウンロードとインストールに使用され、その後、正規の deno.exe が webstizkgao[.]com 上でホストされている攻撃者制御のインフラストラクチャからリモートの JavaScript ペイロードを実行しました。この手法により、攻撃者は従来のマルウェアローダーに依存することなく、コードをリモートで実行することが可能になりました。

図 2 は、調査対象となったインシデント全体で一貫していた実行フローを示しています。

その後の活動

Deno は、その後の活動で主な調整役として機能しました。この活動には、追加の PowerShell スクリプトの実行、システムの偵察、ヘッドレスの conhost.exe プロセスを通じて JavaScript を呼び出すレジストリ Run キーによる永続化の確立が含まれていました。

Deno によるリモート JavaScript の実行により、pythonw.exe を介して実行される Python ベースのペイロード (install.pyc) の配信が可能となりました。ソフォスのアナリストは、162[.]33[.]177[.]16 から取得されたこのペイロードが、システム情報、ブラウザと拡張機能のデータ、暗号資産ウォレット情報、およびキーストロークを収集できる情報窃取型マルウェアであることを確認しました。テレメトリで確認されたその他のプロセス動作からは、システムプロファイリングや分析回避技術が確認されました。

CTU の分析により、hxxp://webstizkgao[.]com/v020def066f14754be9.js でホストされているリモート JavaScript ペイロードを実行するために deno.exe を使用するスケジュールタスクを介して、コマンドアンドコントロール (C2) インフラとの通信が継続していたことが明らかになりました。6 月 23 日、リモートの JavaScript が変更され、Cloudflare の無料サービスである TryCloudFlare 上でホストされる新しいリモートステージング URL が定義されました。このスクリプトは、hxxps://ordinary-computer-analytical-spell[.]trycloudflare[.]com/c からコンテンツをダウンロードし、Microsoft Edge のアップデートを装った新しいレジストリキーにそのコンテンツを格納しました。

その他の観測結果

CTU の研究チームは、columbnezhjdq[.]com および webstizkgao[.]com ドメインと通信する同様の悪意のある JavaScript 挿入をホストしている、500 以上の侵害された WordPress サイトを特定しました。columbnezhjdq[.]com は、webstizkgao[.]com の登録から 5 日後の 2026 年 6 月 1 日に登録されていました。影響を受けたサイトの数から判断すると、オペレーターは特定の WordPress サイトを標的にするのではなく、Web サイトの改ざんや挿入メカニズムを利用して、ClickFix のルアーの配信を大規模に展開した可能性が高いと考えられます。

2025 年 5 月にリリースされた Deno ランタイム v2.3 では、信頼性の高いコード署名付きディストリビューションが導入され、セキュリティコントロールによってバイナリが検知される可能性が低くなりました。しかし、セキュリティ研究者らは当時、これが悪意のあるペイロードの実行に悪用される可能性について警告していました。リモートコードを取得し、ユーザーが書き込み可能なディレクトリから動作し、広範な権限で実行できるという機能は、多段階のマルウェア配信と永続化に極めて適しています。これらすべての要因が、Deno を攻撃者にとってより魅力的なものにしたと考えられます。

推奨事項、保護対策、および指標

CTU の研究チームは組織に対し、Deno の不正使用を監視・制限すること、ユーザーが書き込み可能なディレクトリからの deno.exe の実行を確認すること、Deno が関与する永続的イベントを調査すること、およびこの活動に関連付けられている悪意のあるドメインや IP アドレスへの接続をブロックすることを推奨します。

この脅威に関連するソフォスの保護機能は以下の通りです。

• WIN-EXE-PSH-INVOKE-AND-WRITEALLBYTES-1
• WIN-PROT-BEHAVIORAL-MALWARE-CREDS-2D-T1555-003
• WIN-PROT-BEHAVIORAL-MALWARE-CLEANUP-3A-T1059-001
• WIN-PER-PSH-CURRENTVERSION-RUN-1
• WIN-EXE-PSH-INVOKE-AND-WRITEALLBYTES-1
• WIN-EVA-PRC-EXE-IN-ZIP-1
• WIN-EVA-PRC-SUSP-CONHOST-SPAWN-1
• WIN-EVA-PRC-CONHOST-CODE-INJECTION-2

表 1 に示す脅威の指標は、この脅威に関連するアクティビティを検知するために使用できます。なお、IP アドレスは再割り当てされる可能性がありますので、注意してください。また、これらの IP アドレスとドメインには悪意のあるコンテンツが含まれている可能性があるため、ブラウザで開く際はリスクを十分に考慮してください。

表 1: この脅威の指標