偽の Claude Code インストーラー：正規の Google Sites から巧妙な ClickFix を仕掛ける

Fake Claude Code Installer Via Google Sites Delivers Credential-Stealing Malware

2026/06/04 CyberSecurityNews — サイバー犯罪者は、AI 開発ツールの普及拡大を悪用する、新たな巧妙な手法を見出した。Claude Code および OpenAI Codex を模倣した偽ページを、信頼された Google Sites インフラ上でホストしてユーザーにコマンドを実行させることで、認証情報や機密性の高い個人データを密かに窃取するというキャンペーンが確認された。

この攻撃は ClickFix と呼ばれる手法をベースにするものであり、正規のセットアップを模倣するページをユーザーに提示し、短いコマンドの実行を指示するものだ。

従来のようなファイル・ダウンロードは発生しない代わりに、すべての悪意の処理はメモリ上で実行されるため、一般的なセキュリティ・ツールによる検知は困難である。

Claude Code および OpenAI Codex を偽装する ClickFix キャンペーンを報告したのは、ANY.RUN のアナリストである。研究者によると、ネットワーク通信が通常の PowerShell トラフィックとして見えるため、侵害の初期段階における可視性が大幅に低下するという。

このキャンペーンの特徴は、その自然に見える偽装のスタイルにある。Google Sites は正規の Google ドメインであり、多くのユーザーはそのページ上の指示に疑いを持たない。具体的には、信頼されたホスティング基盤／説得力のある誘導／完全にメモリ内で動作するペイロードの組み合わせにより、この攻撃者が大きな優位性を得ている。

この攻撃の影響は深刻である。窃取されるデータに含まれるのは、ブラウザ保存パスワード／メール認証情報／暗号通貨ウォレット情報などであり、それらは攻撃者が管理するサーバへ送信される。

AI コーディング・ツールを日常的に利用する開発者や専門職は、特にリスクが高い。コマンド・ラインによるインストール手順に慣れているため、指示に従いやすいからである。

Google Sites を利用する偽の Claude Code インストーラ

Claude Code／Codex の正規インストール・ガイドを装う Google Sites ページへと、被害者は誘導される。そこで “mshta” コマンドの実行を指示される。これは Windows に標準搭載されたユーティリティであり、この一度の操作で攻撃チェーン全体が開始される。

その後に、複数段階の PowerShell シーケンスがバックグラウンドで実行される。

このキャンペーンの技術的特徴の一つはステガノグラフィであり、悪意あるペイロードは画像ファイル内に隠蔽され、実行時にのみ抽出される仕組みになっている。この shellcode は PowerShell プロセス内で展開／実行され、ディスクに書き込まれないため従来型アンチウイルスでは検知されにくい。

実行フローは高速かつ静かであり、以下の流れで実行される。

  1. Google Sites 誘導
  2. mshta 実行
  3. PowerShell ステージング
  4. 画像からペイロード抽出
  5. メモリ上で shellcode 実行
  6. データ窃取および外部送信
ステガノグラフィとメモリ内実行

このキャンペーンにおけるステガノグラフィの利用は、攻撃手法の進化を示す。実行ファイルではなく、画像ピクセル内に shellcode を埋め込むことで、被害端末に残る痕跡を最小化する。その結果、SOC チームが事後調査で得られる情報は極めて限定的となる。

また、PowerShell のような正規プロセス内で動作するため、その通信は通常の活動であると、ネットワーク監視ツールが誤認する可能性がある。このような擬装性の高さが、防御を困難にしている要因である。

コマンドのコピー＆ペーストを要求する Web ページに対しては、高い警戒を持つべきだと、セキュリティ研究者は指摘する。たとえ見た目が正規であっても、必ず公式ドキュメントや GitHub リポジトリで手順を確認すべきである。

ユーザー組織としては、ディスク上にマルウェアが存在しない場合であっても検知可能な、振る舞いベースのエンドポイント検出を導入すべきである。

Indicators of Compromise (IoCs)

この資料には直接抽出可能なファイルハッシュ／IP アドレス／ドメイン情報は含まれていない。ただし ANY.RUN サンドボックス分析に基づき、以下のアーティファクトが追跡可能である。

TypeIndicatorDescription
URLsites.google.com/view/clau-ver-un-24Google Sites lure page impersonating Claude Code installer
URLapp.any.run/tasks/698e0bd5-01b6-40fe-814c-5c0885cea645ANY.RUN sandbox analysis session for Claude lure
URLapp.any.run/tasks/151cfb30ANY.RUN sandbox analysis session for Codex lure
Processmshta.exeWindows utility abused to initiate the ClickFix attack chain
Processpowershell.exeUsed for multi-stage payload delivery and in-memory shellcode execution
TacticClickFix via Google SitesSocial engineering lure directing victims to execute mshta command
Data TargetBrowser, email, crypto walletsCategories of credentials stolen and exfiltrated to C2 infrastructure

注: IP アドレスおよびドメインは意図的に無効化表記 (例: [.]) が用いられている。再有効化は MISP／VirusTotal／SIEM 等の管理環境内でのみ実施すべきである。

訳者後書：この攻撃で用いられる ClickFix と呼ばれる手法は、信頼されたホスティング基盤の悪用と、メモリ内実行を組み合わせる巧妙な誘導方法をベースにするものです。正規の Google Sites を用いて作られた偽ページを信頼してしまう人間の心理や、Windows 標準の mshta.exe などの正規ユーティリティを悪用することで、攻撃の成功率を高めます。 画面の指示に従ってコマンドを実行すると、バックグラウンドで画像ファイルに隠された悪意のプログラムが展開され、ディスクに痕跡を残すことなく、すべてをメモリ上で完結するデータ窃取が実行されます。 見た目が正規に見える Web ページであっても、記載されたコマンドを安易にコピー&ペーストして実行することは、きわめて危険です。よろしければ、ClickFix での検索結果も、ご参照ください。