新しい攻撃ファミリーが、Cloudflareの偽の検証ページを使用して開発者を標的にし、バックドアをクリップボードにコピーさせ、それを自分でターミナルに貼り付けさせる。

TerminalFix : 偽の Cloudflare CAPTCHA、ターミナルに仕込まれた真のバックドア

発生していること

TerminalFix は、技術系プロファイルの反射的行動に直接狙いを定めた、新しいタイプのソーシャルエンジニアリング攻撃です。ブラウザのエクスプロイトも、悪意のある npm パッケージもありません。この場合、あなた自身が正当な検証を行っていると信じてバックドアをインストールしてしまいます。

シナリオ：侵害されたサイトが、ピクセルパーフェクトな偽の Cloudflare 検証ページを表示します。ボタン、スピナー、ロゴ、オリジナルと同じ色まで完全に一致しています。裏では、この「検証」が静かに悪意のあるコマンドをクリップボードにコピーします。メッセージが表示されます。「完了させるには、ターミナルを開いてこのコマンドを貼り付けてください。」実行します。それで終わりです。

そのコマンドはリバーストンネルを展開し、C2 サーバーに接続します。ファイアウォールが通過を許可する発信接続です。攻撃者は、ngrok、frp、chisel などの正規ツールを悪用して、NAT や企業ファイアウォールの裏側であっても、永続的で対話的なアクセスを取得します。

なぜ開発者が完璧なターゲットなのか

この攻撃は技術系プロファイルに最適化されています。開発者は常にターミナルを開いており、「セキュリティ検証」でターミナル操作を求められるのは当然だと思い、機械的に実行してしまいます。アンチウイルスは何も検知しません。これは正規ユーザーがコマンドを入力しただけだからです。認証ログにも何も残りません。

これは 2024 年から文書化されている ClickFix 攻撃の直接的な進化形であり、ブラウザではなくターミナルに適用されています。ベクターは開発者側の侵害されたサプライチェーン（npm、PyPI パッケージ）とは異なります。開発者側のインフラが侵害される必要はありません。

今すぐすべきこと

今すぐ実行すべきこと

1. 絶対のルール：正規のウェブサイトがターミナルを開いてコマンドを貼り付けるよう求めることは絶対にありません。すぐにタブを閉じてください。
2. 貼り付け前にクリップボードを確認：pbpaste（macOS）、xclip -o または wl-paste（Linux）で内容を確認し、実行はしない。
3. アクティブなトンネルを探す：ss -tp（Linux）または lsof -i（macOS）で、未知のホストへの永続的な発信接続を確認。
4. 意図しない ngrok/frp/chisel の存在を確認：which ngrok frp chisel。
5. チームに周知：ジュニアの開発者ほど被害に遭いやすい。この記事を共有してください。