Кампанія ClickFix, згенерована за допомогою ШІ, поширює SmartRAT

SOC Prime Team

Стежити

Кампанія ClickFix, згенерована за допомогою ШІ, поширює SmartRAT

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Зловмисники використовують засоби створення вебсайтів на основі ШІ для створення переконливих фішингових сторінок, що імітують бразильські банківські бренди. Ці сторінки застосовують техніку ClickFix, яка використовує фальшиві перевірки CAPTCHA та повідомлення про відновлення системи, щоб переконати жертв виконати шкідливі команди PowerShell. Результатом є доставка SmartRAT, троянської програми на базі PowerShell, розробленої для віддаленого доступу та викрадення фінансової інформації.

Розслідування

Zscaler ThreatLabz виявила кілька доменів кейлогінгу та проаналізувала весь ланцюжок зараження, спостерігаючи за коментарями та скриптами, згенерованими ШІ, розробленими для протидії інспекції. Розслідування також виявило слабкість в AI-збудованій панелі команд та управління, яка дозволяла автентифікаційний обхід можливий через клієнтську сторону localStorage маніпуляцію. Дослідники також декодували протокол зв’язку SmartRAT та задокументували його використання в AES-CBC шифруванні.

Захист

Організаціям слід розгорнути веб-фільтрацію для блокування відомих доменів кейлогінгу та шкідливих доменів. Захист кінцевих точок слід налаштувати для виявлення та обмеження підозрілої активності PowerShell і несанкціонованого створення запланованих завдань. Зусилля для підвищення обізнаності користувачів також повинні навчити співробітників розпізнавати соціальну інженерію в стилі ClickFix, включаючи фальшиві сині екрани, повідомлення про відновлення або підказки CAPTCHA.

Відповідь

Якщо виявлена активність SmartRAT, негайно ізолюйте уражені кінцеві точки, щоб зупинити трафік команд та контролю і обмежити подальші переміщення. Проведіть судово-медичний аналіз для визначення методу стійкості, чи є він на основі послуг або на основі запланованих завдань, та шукайте відповідні артефакти, такі як msedgeupdate.txt. Перевірте журнали веб-проксі на наявність трафіку до виявленої інфраструктури і ініціюйте скидання облікових записів для всіх уражених користувачів.

"graph TB %% Class Definitions Section classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef technique fill:#ccffcc %% Initial Access and Execution Phase action_phishing["Дія – T1566 Фішинг Зловмисники використовують кейлогінгові домени та згенеровані ШІ вебсайти для заманювання жертв."] class action_phishing action action_clickfix["Дія – T1204.004 Виконання користувача: Зловмисний копіювання та вставка Обманює користувачів на вставлення зловмисної команди PowerShell у вікно запуску Windows."] class action_clickfix action action_ingress["Дія – T1105 Перенос інструменту входу Завантажує прихований дроппер з ім’ям st.txt з віддаленого IP 64.95.13.238."] class action_ingress action tool_dropper["Інструмент – Назва: st.txt Опис: Прихований дроппер, що використовується для сприяння доставці основного шкідливого ПО."] class tool_dropper tool %% Malware Execution and Persistence Phase malware_smartrat["Шкідливе ПО – Назва: SmartRAT Опис: Основний RAT, що використовується для спостереження та крадіжки фінансових даних."] class malware_smartrat malware action_user_exec_file["Дія – T1204.002 Виконання користувача: Зловмисний файл Запускає основне шкідливе ПО SmartRAT."] class action_user_exec_file action action_gather_info["Дія – T1592.001/002 Збір інформації про цільовий хост Збирає інформацію про апаратне забезпечення, програми та OS для генерації унікального ідентифікаційного токена."] class action_gather_info action action_persistence_service["Дія – T1543.003 Створення або модифікація системного процесу: Служба Windows Створює службу Windows з ім’ям MicrosoftEdgeUpdateCore для стійкості."] class action_persistence_service action action_persistence_registry["Дія – Стійкість через ключі запуску реєстру Використовує ключі запуску реєстру для підтримки доступу."] class action_persistence_registry action action_priv_esc["Дія – T1548 Привілейоване підвищення Запитує підвищення прав UAC для запуску служби з системними привілеями."] class action_priv_esc action %% Command and Control and Exfiltration Phase action_c2["Дія – T1071 Команди та управління Використовує необроблені TCP-сокети на нестандартному порту 51888 для зв’язку."] class action_c2 action action_exfiltrate["Дія – T1041 Експлікація через канал C2 Краде фінансові дані через встановлений з’єднання C2."] class action_exfiltrate action %% Post-Exploitation and Evasion Phase action_video_capture["Дія – T1125 Відеозапис Виконує потокове передавання екрану для спостереження."] class action_video_capture action action_input_tracking["Дія – T1056 Слідкування за ввідними даними Використовує кейлогінг для моніторингу вводу користувача."] class action_input_tracking action action_mfa_interception["Дія – T1111 Перехоплення багатофакторної аутентифікації Використовує фальшиві накладки для викрадення токенів MFA."] class action_mfa_interception action action_masquerading["Дія – T1036 Маскування Використовує дублікатні імена файлів як msedge.txt для уникнення виявлення."] class action_masquerading action action_file_deletion["Дія – T1070.004 Видалення індикаторів: Видалення файлів Використовує команду деінсталяції для зменшення слідів судової експертизи."] class action_file_deletion action %% Connection Flow action_phishing –>|веде до| action_clickfix action_clickfix –>|веде до| action_ingress action_ingress –>|звантажує| tool_dropper tool_dropper –>|виконує| action_user_exec_file action_user_exec_file –>|запускає| malware_smartrat malware_smartrat –>|виконує| action_gather_info malware_smartrat –>|встановлює| action_persistence_service malware_smartrat –>|встановлює| action_persistence_registry malware_smartrat –>|намагається| action_priv_esc action_priv_esc –>|дає можливість| action_c2 action_c2 –>|використовується для| action_exfiltrate action_c2 –>|використовується для| action_video_capture action_c2 –>|використовується для| action_input_tracking action_c2 –>|використовується для| action_mfa_interception malware_smartrat –>|використовує| action_masquerading malware_smartrat –>|виконує| action_file_deletion

Потік атак

Перегляд

## Виконання Симуляції

Передумова: Перевірка телеметрії та базової лінії пройшли успішно.

Підґрунтя: У цьому розділі детально описується точне виконання техніки супротивника (TTP), призначеної для запуску правила виявлення. Команди та розповіді повинні безпосередньо відображати виявлені TTPs та спрямовані на генерування точної телеметрії, яку очікує виявлення. Абстрактні або не пов’язані приклади призведуть до помилкового діагнозу.

Послідовність дій та команди атаки: Супротивник успішно отримав початковий доступ через фішингову кампанію (T1566) і зараз намагається встановити стійкість. Щоб інтегруватися з легітимною системною активністю, атакуючий використовує підхід “Living-off-the-Land”, виконуючи зловмисну команду, яка маскується під процес оновлення Microsoft Edge (T1036). Атакуючий виконує інструкцію командного рядка, яка містить рядок msedgeupdate.txt для активації симульованого механізму стійкості, що в реальному світі включало б створення запланованого завдання або служби.

Скрипт тесту на регресію:

# Скрипт симуляції стійкості SmartRAT
# Цей скрипт генерує специфічну телеметрію командного рядка, необхідну для активації правила виявлення.

$TargetString = "msedgeupdate.txt"
$FakePath = "C:UsersPublicDocuments$TargetString"

# Створення підробленого файлу, щоб створити команду реалістичною
New-Item -Path $FakePath -ItemType File -Force | Out-Null

Write-Host "[+] Симуляція стійкості SmartRAT через командний рядок: $TargetString" -ForegroundColor Cyan

# Виконання команди, що активує логіку виявлення
Start-Process cmd.exe -ArgumentList "/c echo 'Симуляція активності SmartRAT з $TargetString' > $FakePath" -WindowStyle Hidden

Write-Host "[+] Команда симуляції виконана." -ForegroundColor Green

Команди для очищення:

# Очищення підробленого файлу, створеного під час симуляції
Remove-Item -Path "C:UsersPublicDocumentsmsedgeupdate.txt" -Force -ErrorAction SilentlyContinue
Write-Host "[+] Очищення завершено." -ForegroundColor Yellow

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно