最近、Steamディスカッションフォーラムにおいて、ゲームやPCの問題解決方法を装い、不正なPowerShellコマンドの実行を誘導するClickFix攻撃が確認されました。
2026年7月25日にBleepingComputerが報じた内容によると、攻撃者はランダムに作成したSteamアカウントを使い、ゲームのクラッシュ、アイテムの消失、その他の技術的な問題を訴える投稿に返信していました。返信内容は一見すると通常のトラブルシューティング手順のように見えますが、実際にはユーザーに管理者権限でPowerShellコマンドを実行させ、XMRig暗号資産マイナーをインストールする仕組みでした。
本記事では、BleepingComputerが公開した攻撃フローと侵害指標をもとに事例を整理し、記事に含まれていたドメインとURLをCriminal IPドメイン検索で調査しました。その後、確認されたマッピングされたIPをCriminal IP IT資産検索でさらに確認し、攻撃に使用されたサーバーの外部公開情報を追加で分析します。
問題解決方法を装ったSteam ClickFix攻撃
ClickFixは、偽のエラーメッセージ、認証案内、または問題解決手順を提示し、ユーザー自身に不正なコマンドを実行させるソーシャルエンジニアリング攻撃です。
一般的なマルウェア配布攻撃では、ユーザーに添付ファイルやダウンロードファイルを実行させるケースが多く見られます。一方、ClickFix攻撃では、PowerShell、コマンドプロンプト、またはWindowsの「ファイル名を指定して実行」を開き、特定のコマンドを直接入力または貼り付けるよう指示するケースが多くあります。
今回の事例では、攻撃者はSteamユーザーが実際に直面している問題に対して解決策を提示する形で接近しました。ゲームの起動エラーやアイテム関連の問題を解決しようとするユーザーは、フォーラムに投稿された返信を信頼する可能性があります。攻撃者はこの状況を悪用し、管理者権限でPowerShellを実行するよう要求しました。
ユーザーが投稿の指示に従ってコマンドを実行すると、Windows最適化ツールのように見えるPowerShellスクリプトが動作します。画面上では、一時ファイルの削除、DNSキャッシュの初期化、ドライバー更新、ディスク検査、システムファイル修復などの作業が進行しているように表示されます。しかし、BleepingComputerの分析によると、表示される機能の大半は実際の最適化処理を行っておらず、偽の進行メッセージと待機時間を用いて、正規プログラムのように見せかける構成になっていました。
PowerShellスクリプトに含まれる不正処理
実際の不正処理は、スクリプト内部のAdvanced-Optimization関数に含まれていました。
管理者権限を確認した後、次のような処理が実行されます。
- TLS証明書検証の無効化
C:\Windows\Backgroundディレクトリの作成- Microsoft Defenderのスキャン除外登録
- 既存のXMRigプロセスおよびタスクスケジューラの終了
- 既存の設定ファイルの削除
- 外部サーバーからのXMRigダウンロード
- Windows起動時に自動実行するタスクの作成
ペイロードのダウンロードには、次のURLが使用されていました。
ファイル名は system.txtですが、実際には実行ファイルであり、検証後に以下の場所へ移動されます。
その後、XMRig-[コンピューター名]形式のタスクを作成し、Windows起動時にSYSTEM権限でsystem.exeを実行するよう設定します。
つまり、テキストファイルを装った実行ファイルをHTTPS経由でダウンロードした後、Defenderの除外設定とタスクスケジューラを利用して永続化を行う仕組みです。
Criminal IPドメイン検索で攻撃に使用されたドメインを確認
BleepingComputerの記事で公開されたXMRigダウンロードドメイン msfconfig[.]icuを、Criminal IPドメイン検索で確認しました。
Criminal IPドメイン検索:
msfconfig[.]icu
調査の結果、このドメインはリスクスコア80.0%のDangerousに分類されました。また、AI検知領域ではフィッシング検知の可能性が99%と表示され、次のような検知情報が確認されました。
- リスクレベル: Dangerous
- ドメインスコア: 80.0%
- フィッシング検知の可能性: 99%
- 疑わしい状態: Suspicious
- フィッシング関連検知: True
- 新規登録ドメインの検知
- マッピングされたIPの確認
- WebサーバーおよびOS情報
- TLS証明書とDNSレコードの確認
ドメイン登録日は2026年7月23日と表示されました。BleepingComputerの報道日が2026年7月25日であることを踏まえると、登録されて間もないドメインが攻撃に使用された事例と見ることができます。
実際のペイロードURLの調査結果
攻撃に使用されたドメインだけでなく、記事で公開された実際のダウンロードパスである hxxps://msfconfig[.]icu/tmp/system[.]txtもCriminal IPドメイン検索で確認しました。
Criminal IPドメイン検索:
hxxps://msfconfig[.]icu/tmp/system[.]txt
このURLもドメインと同様に、リスクスコア80.0%のDangerousとして表示されました。また、分析画面では、URLへアクセスした際にエラーページが返された様子も確認されました。これは、調査時点でペイロードがすでに削除されていた、またはサーバーがリクエスト条件に応じて異なる応答を返していた可能性を示しています。
マルウェア配布インフラは、キャンペーンが公開された後に速やかに停止されたり、コンテンツが差し替えられたりすることが少なくありません。そのため、現時点でファイルを直接ダウンロードできない場合でも、ドメインのリスクスコア、DNS情報、マッピングされたIP、証明書、サーバー構成は、関連インフラを調査する手がかりとして活用できます。
ドメイン検索からマッピングされたIPへ調査を拡張
ドメイン検索の結果、 msfconfig[.]icuには 185[.]112[.]59[.]XXXがマッピングされたIPとして関連付けられていることが確認されました。そこで、該当IPをCriminal IP IT資産検索で追加調査し、ドメインが接続されていたサーバーの外部公開状況を確認しました。
Criminal IP IT資産検索:
185[.]112[.]59[.]XXX
調査の結果、該当IPはオランダに所在するDigital Hosting Provider LLCのAS200297ネットワークに属していることが確認されました。また、WHOIS情報、過去のスキャン履歴、外部公開ポート、サービスバナーも確認できました。TCP 22番ポートのSSHサービスと複数のHTTPサービスが観測され、SSHバナーからはOpenSSHおよびUbuntu関連情報が識別されました。
ただし、このような外部公開情報だけで、該当IPを攻撃インフラと判断することは困難です。実際、今回のIP分析では明確な特異点は確認されませんでした。一方で、msfconfig[.]icuドメイン自体をCriminal IPドメイン検索で確認した際には、Dangerous 80.0%、フィッシング検知の可能性99%、新規登録ドメインといったリスクシグナルが確認されました。
そのため、攻撃インフラを調査する際には、IPとの接続関係だけでなく、ドメインやURL自体のリスクスコア、登録情報、DNS、証明書、応答内容もあわせて分析する必要があります。
侵害有無の確認と対応方法
BleepingComputerは、該当PowerShellコマンドを実行したユーザーに対し、次の項目を確認するよう案内しています。
C:\Windows\Backgroundディレクトリの存在有無- 該当パスがMicrosoft Defenderのスキャン除外に登録されているか
XMRig-で始まるWindowsタスクスケジューラの有無C:\Windows\Background\system.exeファイル- XMRigまたは該当パスから実行されている不審なプロセス
msfconfig[.]icuとのネットワーク通信履歴
関連する痕跡が見つかった場合は、まずシステムをネットワークから切り離し、ウイルス対策製品またはEDRを用いてフルスキャンを実行する必要があります。
検知製品が暗号資産マイナーを自動的に削除できない場合は、タスクスケジューラ、Defenderの除外設定、関連ファイルを手動で削除する必要があります。また、ダウンロードされたペイロードがマイニング以外の追加の不正処理を行っていた可能性も否定できないため、感染範囲や重要度に応じてOSの再インストールも検討する必要があります。
オンラインフォーラムで提供された問題解決方法であっても、出所を信頼できない場合は、PowerShellやコマンドプロンプトのコマンドを実行してはいけません。特に、管理者権限での実行、セキュリティ機能の無効化、長いエンコード文字列を含むコマンドについては、実行前に必ず検証する必要があります。
FAQ
Q1. ClickFix攻撃は、一般的なマルウェア配布手法と何が異なりますか？
ClickFixは、マルウェアファイルを直接ダウンロードさせるのではなく、ユーザーにPowerShellやコマンドプロンプトでコマンドを直接実行させるソーシャルエンジニアリング攻撃です。通常の問題解決手順やセキュリティ認証プロセスのように偽装されるため、ユーザーが疑うことなく管理者権限でコマンドを実行してしまう可能性があります。その過程で、マルウェアがインストールされたり、追加ペイロードがダウンロードされたりする可能性があります。
Q2. Criminal IPドメイン検索とIT資産検索を組み合わせるメリットは何ですか？
Criminal IPドメイン検索は、不正・悪用が疑われるドメインやURLのリスクスコア、AI検知結果、DNS情報、TLS証明書、マッピングされたIPなどを確認するために活用できます。その後、確認されたマッピングされたIPをCriminal IP IT資産検索で調査することで、ホスティング事業者、ASN、公開ポート、サービスバナー、過去のスキャン履歴など、サーバーインフラ情報を追加で分析できます。これにより、公開されたIOCを起点として攻撃インフラを多角的に調査し、脅威ハンティングやインフラ関連性分析に活用できます。
結論
今回の事例は、Steamディスカッションフォーラムの信頼性を悪用し、ユーザー自身にPowerShellコマンドを実行させたClickFix攻撃です。実行後には、Defenderの除外登録、XMRigのダウンロード、タスクスケジューラの作成などを通じて、暗号資産マイナーがインストールされます。
Criminal IPドメイン検索では、記事で公開されたmsfconfig[.]icuとペイロードURLのいずれもDangerous（80.0%）に分類され、AI検知結果、DNS、証明書、マッピングされたIPなど、さまざまな脅威情報を確認できました。さらに、IT資産検索を通じてホスティング情報、ASN、公開ポート、サービスバナーなどを追加分析することで、攻撃インフラをより立体的に把握できました。
このように、Criminal IPドメイン検索とIT資産検索を組み合わせることで、公開されたIOCを検証し、攻撃インフラを拡張分析する用途に効果的に活用できます。
なお、関連して、デイリー悪性フィッシングデータに基づくフィッシングインフラおよび攻撃パターン分析の記事も参考にできます。
Criminal IP（criminalip.io/ja/register）に登録すると、すぐに脆弱資産の検知を開始できます。さらに、下記ボタンからデモをご依頼いただくことで、エンタープライズ環境において外部に露出した資産を対象としたCriminal IP の脅威インテリジェンス（TI）分析を直接ご確認いただけます。
本レポートは、サイバー脅威インテリジェンス検索エンジン Criminal IP のデータを基に作成されています。
今すぐCriminal IP の無料アカウントを作成すれば、本レポートで引用された検索結果を直接確認したり、さらに膨大な脅威インテリジェンスを自由に検索することができます。
データソース: Criminal IP(https://www.criminalip.io/ja)、 BleepingComputer (https://www.bleepingcomputer.com/news/security/steam-forum-clickfix-attacks-infect-gamers-with-xmrig-cryptominers/)
