ErrTraffic：Web改ざん・ブロックチェーン・心理攻撃の融合

Web改ざん、ブロックチェーン技術、ソーシャルエンジニアリングを巧妙に組み合わせた大規模なマルウェア拡散キャンペーンが、研究者によって新たに報告されています。
この攻撃キャンペーンでは、「ErrTraffic」と呼ばれるTDS（トラフィック配信システム）基盤のMaaSを中心に、攻撃インフラの遮断を防ぐ「EtherHiding」と、ユーザ自身の操作を悪用する「ClickFix」という2つの高度な手法が同時に採用されています。
従来の技術的エクスプロイトに依存せず、人間心理の隙とブロックチェーンの不変性を突く構成が最大の特徴です。
感染が成功した場合、情報窃取型マルウェア（Vidar）や持続的アクセスを狙うバックドアなど多種多様な破壊的ペイロードが送り込まれます。
攻撃者はセキュリティ機関によるインフラのテイクダウンを回避しつつ、継続的かつ広範囲に被害を拡大させており、組織における人間系・技術系の双方を網羅した包括的な防御策の策定が急務となっています。

• ErrTraffic（トラフィック配信・選別システム）
  • フォーラム等で配布・販売されている MaaS（Malware-as-a-Service）形式の TDS（Traffic Distribution System）。
  • 改ざんした大量の WordPress サイト等に難読化 JavaScript を埋め込み、訪問者の地域やブラウザ環境を判定して悪意あるページへリダイレクト。
  • レスポンスヘッダーに errtraffic_session= 等の特有の識別子が含まれる特徴を持つ。
• EtherHiding（ブロックチェーンによるC2インフラの隠蔽）
  • Polygon などの分散型ブロックチェーン（スマートコントラクト）に C2 サーバの接続先情報を格納。
  • ブロックチェーンの分散性・改ざん耐性により、セキュリティ機関による一括テイクダウン（差し押さえ）を事実上不能化。
  • 改ざんサイト側のコードを変更せず、スマートコントラクト上のデータのみを書き換えることで、C2接続先を即座に変更・維持。
• ClickFix（人間心理を突くソーシャルエンジニアリング）
  • Cloudflare の Turnstile、reCAPTCHA、あるいはブラウザの「アップデートエラー」に酷似した偽の検証・エラー画面を表示。
  • ボタンクリック等でクリップボードに悪意ある PowerShell コマンドを自動コピーさせ、ユーザに Win + R キー（ファイル名を指定して実行）での貼り付け・実行を誘導。
  • ソフトウェアの脆弱性を突かないため、従来のブラウザ保護やシグネチャベースの検知を容易に回避。
• 多様な展開ペイロード（最終被害）
  • Vidar: ブラウザに保存された暗号化パスワード、Cookie、暗号資産ウォレットの秘密鍵などを盗み出すインフォスティーラー。
  • Okobot / LegionLoader: さらなる別種のマルウェアをネットワーク内に引き込むローダー機能。
  • Node.js バックドア: 感染端末への永続的なリモートアクセス権を維持・確立。

本脅威キャンペーンは、単一の脆弱性攻撃にとどまらず、ブロックチェーンによる強固なインフラ保護と、人間を「実行者」として利用する心理的攻撃を掛け合わせた高度なサイバー脅威の実例を示しています。
セキュリティソフトによる技術的防御を潜り抜けるため、システム管理者は標準の PowerShell 実行ログや難読化スクリプトの挙動監視（EDR）を強化するとともに、Webサイト管理（WordPress 等）のセキュリティを根本から見直す必要があります。
また、「画面上の指示に従ってコマンドを貼り付け・実行しない」というユーザ教育の徹底こそが、この攻撃連鎖を止める上で極めて重要な境界線となります。

ErrTraffic Malware Campaign: ClickFix and EtherHiding
https://www.watchguard.com/wgrd-security-hub/secplicity-blog/errtraffic-malware-campaign-clickfix-and-etherhiding