DOUBLECUPによるClickFIx攻撃、ブラウザがキャッシュした画像にRATを仕込む

DOUBLECUPによるClickFIx攻撃、ブラウザがキャッシュした画像にRATを仕込む

BleepingComputer – August 3, 2026

ロシアのローダー・アズ・ア・サービス「DOUBLECUP」が、ClickFix攻撃を利用してリモートアクセス型トロイの木馬（RAT）を配信していることが明らかになった。攻撃では、ブラウザによってキャッシュされるPNG画像に有害コードが隠されるという。

セキュリティ企業SOCRadarによると、DOUBLECUPは2026年6月上旬から活動しており、顧客にライセンスを発行し、攻撃を実行するために必要なインフラの大部分を用意している。これには、ステガノグラフィ入りPNG画像のホスティング、セッションエンドポイントやAPIエンドポイントの作成・管理、暗号化鍵の提供、ペイロードの自動再構築などが含まれる。他方、ClickFix攻撃を行うためのWebサイトの作成およびホスティング、フロントエンドコードの追加、さらなる難読化技術やアンチ解析の実装は顧客自身が行うことになっている。

SOCRadarは報告書の中で、NetSuite、Odoo、HubSpot、Salesforceになりすましたログインページに偽CAPTCHAプロンプトを表示し、埋め込みiframeを通じて有害コードを読み込むDOUBLECUPのClickFixキャンペーンを確認したと述べている。これらのサイトにアクセスすると、DOUBLECUPはセッションを登録し、被害者のパブリックIPアドレスを特定して、ブラウザに強制的に有害なPNG画像のダウンロードとキャッシュを行わせる。その後、ページには偽CAPTCHAが表示され、自動的にクリップボードにコピーされたコマンドを貼り付けて実行するように仕向ける。

コマンドが実行されると、ファイルサイズに基づいてブラウザのキャッシュからPNG画像を検索し、画像に隠された第1段階のペイロードを復元して実行。次に第2段階のファイルレスドロッパーが被害者の公開IPv4アドレスを取得し、暗号化された最終段階のペイロードの復号鍵を作成する。復号されたペイロードをハードコードされたSHA256ハッシュと照合し、メモリ上で実行することで、WindowsとmacOSの両方を対象としたRAT「CountLoader」やWindows向けの「DeviceManager」が最終的に配信されるとのこと。

CountLoaderは侵害したシステムに関する情報を収集し、暗号資産ウォレットアプリやブラウザ拡張機能、Signal Desktopのインストール有無をチェックして、スケジュールされたタスクを悪用して永続性を確立する。ファイルの実行も可能だという。DeviceManagerは「EtherHiding」と呼ばれる技術を使用し、ブロックチェーンのスマートコントラクトからC2サーバーのIPアドレスを特定する。独立国家共同体（CIS）に加盟していない国のIPアドレスである場合、DeviceManagerはGUID、ディスク識別子、ユーザーSID、ホスト名、ユーザー名、OSバージョン、アーキテクチャ、インストールされているアンチウイルスソフトウェア、ドメイン情報を収集する。