エクスプローラーのアドレスバーから不正なスクリプト入力… 「ClickFix」の亜種「FileFix」に注意喚起

「ファイル名を指定して実行」から、あるいはコマンドプロンプトからとほぼ同様に、エクスプローラーのアドレスバーからもコマンド入力が可能であり、例えばあるフォルダーを開いている状態で「cmd」と打ち込むことにより、コマンドプロンプトをそのフォルダーにいる状態で開くことが可能といったテクニックが良く紹介されます。

FileFixはClickFixと同様、非常に長いコマンドをクリップボードにコピーし、アドレスバーに貼り付けさせる手口となりますが、途中に長大な空白を入れる等して、単純なファイルパスを入力させるものと誤認識させようとする模様です。

注意喚起では、ClickFixの際に回避策として挙げた、Win+Rによる「ファイル名を指定して実行」のブロックのような手法がとりにくいとし、全ての従業員の業務用デバイスに危険なコードの実行を適時に検出してブロックできるようなソリューションを導入することや、ClickFixないしその亜種が行うようなソーシャルエンジニアリングの手法についての啓発・教育を推奨しています。

Slackでは基本的にパスワードまたはメールで送られるマジックリンクによるログインとなり、加えて2要素認証(2FA)を有効にし、SMSで届くコードかワンタイムパスワード(TOTP)を入力させる設定とすることにより、別途スマートフォンと組み合わせない限りログインは困難となる程度にはアカウントを保護することが可能です。

一方で今回はいわゆるインフォスティーラー型マルウェアがPC上からログイン済みセッションに関係するCookie情報等を奪取したものと考えられ(そしてマルウェアがスマートフォンの方に侵入しないとも決して限りません)、企業・家庭に拘らずアンチウイルス等による防御策はともかく、このようなケースに対しアカウントの保護、ワークスペースへの侵入の防止を行うためにSlack側でさらなる高度なセキュリティ対策がとられるかにも注目したいところです。