Cloudflareの「人間であることを確認」ページを偽装してコマンドを実行させる攻撃が確認される

「ClickFix」と呼ばれる、偽の画面を表示してコマンドを実行させる攻撃がいくつかのサイトで確認されました。不正アクセスを受けた正規のウェブサイトで確認されているため注意が必要です。

Yet Another ClickFix Campaign - SANS Internet Storm Center
https://isc.sans.edu/diary/33466

今回確認されたClickFixは、Cloudflareがボットを検知するために提供しているツール「Turnstile」を模倣するものです。

セキュリティ監視機関のインターネットストームセンターによると、実際の画面は以下で、人間であることを確認するために「Win＋Rを押下」「Ctrl＋Vでコマンドペースト」「Enterを押下」を実行するよう誘導していました。このページは正規のウェブサイトに隠されたスクリプトによって読み込まれ、読み込まれた時点で特定のコマンドがクリップボードにコピーされるとのことです。

コマンドは特定のサーバーにアクセスを試みてファイルをダウンロードし、バックグラウンドでインストールさせようとするものでした。ただ、インターネットストームセンターが実行したところ、サーバーから403 Forbiddenエラーが返されてそれ以上先に進めなかったそうです。