人間認証ウイルスポップアップ – 取り外しガイド

何ですか “人間認証” 現れる?

Cloudflareの認証チェックのようなページが表示され、あなたが人間であることを確認するよう求められました。, そしてWin+Rを押すように指示されました, 次にCtrl+V, 次にEnterキーを押して認証を完了します。. 今すぐこれを読んでください – これはCloudflareではありません, これは実際の検証ではありません, そして、もしあなたがそれらの手順に従ったなら, お使いのデバイスは既に侵害されている可能性があります.

これはClickFix攻撃です – マイクロソフトが詳細に文書化したソーシャルエンジニアリングの手法, マルウェア対策のヒント, SecurityWeek, およびMalwarebytes, 侵害された、または悪意のあるウェブサイトが偽のCloudflare Turnstile認証ページを表示する. このページは、細部に至るまでCloudflareのデザインを模倣している。, 本物に見せるために、下部に偽のRay IDを付ける. 訪問者がクリックした瞬間 “あなたが人間であることを確認してください。” チェックボックス, 隠されたJavaScript関数が、悪意のあるPowerShellコマンドを密かにコピーする – 通常はBase64エンコードされて内容が隠される – ユーザーには何の表示もなく、直接クリップボードにコピーされます。. すると指示が表示されます: Windowsの「ファイル名を指定して実行」ダイアログを開くには、Win+Rキーを押してください。, クリップボードの内容を貼り付けるには、Ctrl+Vを押してください。, そしてEnterキーを押して実行します。. 訪問者は、認証手順を完了していると考えている。. 実際には、攻撃者が制御するコマンドを自分のデバイス上で実行している。. 実際のCloudflareチェックではWin+Rキーは不要です, Ctrl+V, パワーシェル, 「ターミナル」, またはあらゆる種類の貼り付けコマンド.

どうやってこの攻撃に遭遇したのか?

偽の人間認証ページは、いくつかの異なる経路で出現する可能性があります。:

• 侵害された正規のウェブサイト – 最もよく文書化されている展開例: 本物の, これまで信頼されていたウェブサイトが、偽の認証オーバーレイをページに挿入する悪意のあるスクリプトによって侵害されました。. 訪問者はそれを、自分たちがわざわざ訪れることを選んだ場所の一部であるかのように見ています。. これが、偽ページが非常に説得力を持つように見える理由です。 – ブラウザのアドレスバーに表示されているドメインは正規のサイトです.
• 広告ネットワークからの悪意のあるリダイレクト – アン 悪意のあるリダイレクト 低品質ストリーミングからのチェーン, トレント, ダウンロードサイトは、攻撃者が管理するドメインでホストされている独立した偽の認証ページに訪問者を誘導する可能性があります。.
• メッセージやソーシャルメディアで共有されたリンク – 偽の認証ページは、メール内のリンクとして拡散されている。, メッセージングアプリ, またはソーシャルプラットフォーム, リンク先は正規のコンテンツであるように見える.
• 悪質な広告 – 悪意のある広告 正規のサイトに見えるサイトでも、クリックされた広告によってトリガーされる自動リダイレクトチェーンを通じて、訪問者を偽の認証ページにリダイレクトすることができます。.

ClickFix攻撃は何をするのか？?

Win+Rを押すと, Ctrl+V, 入力シーケンスが実行されました, これが実際に起こったことであり、攻撃者が今できることです。:

• デバイス上で悪意のあるPowerShellコマンドが実行されました。 – 実行ダイアログに貼り付けられたクリップボードの内容は、攻撃者が制御するコマンドだった。, 通常はBase64でエンコードされ、ユーザーが実行前に読み取れないようにする。. Enterキーが押された瞬間、コマンドはログインしているWindowsユーザーアカウントと同じ権限レベルで実行されました。.
• 最も一般的なペイロード: ルマ・スティール – MicrosoftとMalwarebytesは、ClickFix攻撃によって配信される最も一般的なペイロードはLumma Stealerであることを確認した。, 情報窃盗 トロイの木馬 保存されたブラウザのパスワードを外部に漏洩させる, セッションCookie, データの自動入力, 攻撃者のインフラストラクチャへの暗号通貨ウォレット認証情報.
• その他に確認されているペイロードには、バンキング型トロイの木馬やリモートアクセスツールなどがある。 – ルマスティラーの先へ, ClickFixのペイロードとして文書化されているものには、DanaBotが含まれる。 (バンキング型トロイの木馬), AsyncRATとSectopRAT (攻撃者にデバイスをリアルタイムで制御させるリモートアクセス型トロイの木馬), Macシステムでは, エイモス・アトミック・スティラー.
• このコマンドは、さらにマルウェアのコンポーネントをインストールする可能性があります。 – 最初の PowerShell コマンドは通常ドロッパーとして機能します, 初回実行後に、より大きなペイロードをダウンロードしてインストールする. 実行直後にウイルススキャンで問題なしと判定されたとしても、デバイスが安全であることを保証するものではありません。 – ペイロードには、初期検出を回避するコンポーネントが搭載されている可能性がある。.

キーボードの手順に従わなかった場合 – タブを閉じて、サイトには二度とアクセスしないでください。. ページを閲覧するだけで感染することはありません。; ユーザーは指示に従ってコマンドを積極的に実行する必要があります。.

あなたは何をするべきか?

Win+R に従っていた場合, Ctrl+V, シーケンスを入力してください: この時点からデバイスが侵害されている可能性があるとみなし、直ちに対応してください。. スキャン結果を待たずに、以下の手順を実行してください。 – 窃盗犯のペイロードが実行された場合, ブラウザ内の認証情報は既に送信されている可能性があります. メールや金融口座など、保存されているすべてのパスワードを変更してください。 – これを別のところから実行してください, 影響を受けたデバイスではなく、クリーンなデバイスを使用する. すべての重要なアカウントのすべてのアクティブなセッションからログアウトしてください。. 二段階認証に対応しているすべてのアカウントで二段階認証を有効にする. それで: 影響を受けたデバイスでMicrosoft Defenderオフラインスキャンを実行します。 (Windowsセキュリティ, ウイルスおよび脅威対策, スキャンオプション, Microsoft Defender オフラインスキャン) オフラインスキャンはWindowsの起動前に実行され、通常のスキャンでは見逃されるコンポーネントを検出できるためです。. また、セカンドオピニオンとして専用のマルウェア対策ツールも実行してください。. 仮想通貨ウォレットがブラウザに保存されている場合、またはウォレット拡張機能がインストールされている場合, それらの認証情報が漏洩したと想定してください – クリーンなデバイスで生成された新しいシードフレーズを使用して、資金を新しいウォレットに移動します。. 銀行の認証情報がブラウザに保存されている場合, 銀行に問い合わせる. コマンドを実行する前にクリップボードにコマンドが含まれているかどうかを確認するには、メモ帳を開いてCtrl+Vを押すと可能です。 – 長いPowerShell文字列が表示される場合, クリップボードが乗っ取られた. この記事の下にある完全な除去ガイドに従って、段階的な清掃プロセス全体を確認してください。.