偽CAPTCHAにご注意!Windowsユーザーを狙うマルウェア攻撃の手口と対策法

CAPTCHA(キャプチャ)は誰にとっても面倒なものです。歪んだ文字を読み取ったり、画像を選択したりして、ようやくログインや閲覧ができる――セキュリティのためだと分かっていても、やはりストレスです。さらに最近では、偽のCAPTCHAページを使ってマルウェアをダウンロードさせる手口まで登場し、CAPTCHAへの嫌悪感はますます強くなっています。

CAPTCHAは常に無害とは限らない

通常、CAPTCHAは単に時間を取られるだけで、害があるものではありません。しかし、Windowsユーザーを標的とした新しいCAPTCHA詐欺は、わずか数回のキー操作で厄介なパズルを有害なマルウェアへと変えてしまいます。

あなたが「ロボットではないこと」を証明している間に、ハッカーは偽のCAPTCHAページを使い、マルウェアをインストールする操作をユーザー自身に行わせるのです。結局、目的のサイトにはアクセスできないままですが、ハッカーはあなたのコンピュータへの完全なアクセス権を手に入れることになります。

これらの偽の認証画面は、本物のCloudflareセキュリティチェックとほぼ同じ外見をしているため、真偽を見分けるのは非常に困難です。私たちは普段から指示に従って作業を済ませることに慣れているため、その認証が本物か偽物かを疑うことすらしないのです。

本物のCloudflare CAPTCHA

ハッカーが仕掛けるのは「Stealthy StealC」と呼ばれる情報窃取型マルウェアです。ブラウジング中のログイン情報、暗号通貨ウォレットのデータ、Outlookメールの内容、Steamアカウント情報など、あらゆる個人情報を盗み出します。

通常なら「怪しいサイトに近づかなければ大丈夫」とお伝えするところですが、今回は話が違います。ハッカーは正規サイトのCAPTCHAページ自体を改ざんしているのです。悪意のあるJavaScriptコードが本物のCAPTCHAを偽物に置き換えるこの手法は「クリックジャッキング」の一種であり、信頼できるサイトまでもが突然危険な存在になり得ます。

キーボードショートカットを求めるCAPTCHAに注意

一般的なCAPTCHAは、パズルのピースを動かす、ランダムな文字を入力する、特定の画像を選ぶ、簡単な計算問題を解くといった形式です。しかし、マルウェアを仕込んだ偽CAPTCHAはまったく異なるアプローチを取ります。

それは、一連のキーボードショートカットを押すようユーザーに指示することです。正規のCAPTCHAがキーボードショートカットの入力を求めることは決してありません。この手口では、まずWin + Rキーでバックグラウンドで「ファイル名を指定して実行」ダイアログを開かせ、次にCtrl + Vで(画面には表示されない)悪意のあるコマンドを貼り付けさせ、最後にEnterキーを押させてコマンドを実行し、マルウェアをダウンロードさせます。

この種の攻撃は今回が初めてではなく、今後も続くと考えられます。1年前にも「EDDIESTEALER」がChrome上のWindowsユーザーを標的にし、偽CAPTCHAページ経由でマルウェアを感染させています。

本物と偽物のCAPTCHAの見分け方

日常的に遭遇するCAPTCHAのほとんどは本物です。好みは分かれますが、ボットからサイトを守るための正当な認証ツールです。AIの普及とAIによるウェブスクレイピングの増加により、CAPTCHAを目にする機会はさらに増えています。

悪意のあるCAPTCHAを見分けるポイントは以下の通りです:

• スクリプトやコマンドの実行を求められる
• 「私はロボットではありません」のチェックボックスをクリックすると、画像選択などの課題ではなくキーボードショートカットの一覧が表示される
• ログイン時や初回アクセス時ではなく、不意にCAPTCHAが表示される
• CAPTCHAがURLが微妙に異なる新しいページを開く
• 説明文に奇妙な空白や文法ミスがある
• 画質が極端に低く、画像を選ぶ代わりにキーボードショートカットの使用を促される

また、バックグラウンドで何が起きているかに注意を払うことも重要です。CAPTCHAを操作中にタスクバーにPowerShellやコマンドプロンプトのアイコンが表示されたら、すぐにすべての操作を中止し、そのページを直ちに閉じてください。

Windowsでのスクリプト無効化を検討する

やや極端に思えるかもしれませんが、Windows Script Hostを無効化すると、悪意のあるスクリプトの実行を防ぐことができます。より緩やかな対策として、署名されていないスクリプトの実行のみを禁止する方法もあります。

管理者権限があり、レジストリの編集に抵抗がない場合は、Windows Script Hostを無効化できます。必要になったときに再度有効化するのも簡単です。

Win + Rキーを押し、「regedit」と入力してEnterキーを押します。次の場所に移動してください:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings

右側ペインの空き領域を右クリックし、「新規 → DWORD (32ビット) 値」を選択します。

新しい値に「Enabled」という名前を付けます。値をダブルクリックし、「0」に設定します。PCを再起動すれば完了です。スクリプトを許可したい場合は「1」に戻します。

この設定は正規のスクリプトもブロックしてしまいますが、再び有効にするのは簡単です。

サイト上のJavaScriptをブロックする

偽CAPTCHAを防ぐもう一つの方法は、サイト上のJavaScript要素をブロックすることです。お気に入りのサイトの一部機能が使えなくなる可能性がありますが、サイトごとにJavaScriptを許可することも可能です。

JavaScriptの設定は、お使いのブラウザの設定内で確認・変更できます。あるいは、NoScriptのようなスクリプトブロック拡張機能の利用も検討してみてください。また、uBlock Originのようなプライバシー・セキュリティ拡張機能を使えば、ブロックする内容を細かくカスタマイズできます。

偽CAPTCHAはなくなりません。しかし、スクリプトの実行をブロックし、CAPTCHAの指示内容に細心の注意を払うことで、隠れたマルウェアの脅威から身を守ることが容易になります。