Kampania ClickFix wykorzystuje motywy Amazona do rozprzestrzeniania malware

Podsumowanie

Złośliwi aktorzy wykorzystują sponsorowane wyniki wyszukiwania w Google dla „amazon business”, aby przekierować użytkowników na fałszywą stronę logowania do Amazon. Strona ta wykorzystuje technikę ClickFix inżynierii społecznej, aby oszukać ofiary do wykonania polecenia przez okno dialogowe Uruchom systemu Windows. To polecenie wykorzystuje przestarzałe narzędzie finger do pobierania i uruchamiania wieloetapowego łańcucha złośliwego oprogramowania z udziałem Doina, Lumma Stealer i NetSupport RMM.

Śledztwo

Huntress przeprowadził śledztwo w kilku incydentach związanych z kampanią ClickFix związaną z Amazonem. Analitycy przeprowadzili inżynierię odwrotną łańcucha infekcji i zidentyfikowali narzędzie finger narzędzie wykorzystywane jako LOLBIN do pobierania uzbrojonego pliku .plan. Śledztwo prześledziło wdrożenie IronPython, Doina RAT, i w końcu Lumma Stealer za pomocą loadera opartego na Node.js.

Łagodzenie

Podstawową obroną jest świadomość użytkowników na temat fałszywych komunikatów CAPTCHA, które nakazują wykonanie poleceń terminalowych. Organizacje powinny rozważyć wyłączenie okna dialogowego Uruchom w systemie Windows dla użytkowników, którzy go nie potrzebują, za pomocą zarządzanych kontroli bezpieczeństwa punktów końcowych. Monitorowanie nietypowego ruchu przez port TCP 79 używany przez narzędzie finger i wskaźniki malvertisingu w dziennikach internetowych może również wspomóc wczesne wykrywanie.

Reakcja

Kiedy wykryje się tę aktywność, należy odizolować dotknięte punkty końcowe, aby zapobiec dalszemu wyciekom danych lub lateralnym ruchom. Przejrzyj i zablokuj zidentyfikowane domeny C2 o tematyce barbecue i złośliwe adresy IP. Przeprowadź dokładne poszukiwania niezautoryzowanego oprogramowania RMM, takiego jak NetSupport oraz podejrzane procesy Node.js wykonujące się z niestandardowych lokalizacji, w tym C:ProgramData.

Wykonanie symulacji

• Narracja ataku i polecenia: Napastnik uzyskał początkowy dostęp i próbuje ustanowić trwałość oraz polecenia kontrolne (C2). Aby wtopić się w zwykły ruch administracyjny i wykorzystać znane słabości protokołów, korzystają ze skryptu Python do zainicjowania połączenia na Porcie 79 (protokół Finger). Jednocześnie próbują użyć instancji klienta NetSupport do przesyłania narzędzi, celując szczególnie w znany złośliwy IP (172.148.201.106) na porcie 725, aby utrzymać tylne wejście.

• Skrypt testu regresji:

  # Skrypt symulacyjny do wywołania reguły wykrywania
  # Wymaganie: Na celu musi być zainstalowany Python
  
  Write-Host "[+] Rozpoczęcie symulacji..."
  
  # 1. Uruchomienie Wybór pierwszy: Połączenie do portu 79
  Write-Host "[+] Uruchomienie połączenia Port 79 (Finger)..."
  python -c "import socket; s = socket.socket(socket.AF_INET, socket.SOCK_STREAM); s.connect(('127.0.0.1', 79)); s.close()"
  
  # 2. Uruchomienie Wybór drugi: Połączenie do 172.148.201.106 na Porcie 725
  Write-Host "[+] Uruchomienie połączenia NetSupport (IP: 172.148.201.106, Port: 725)..."
  python -c "import socket; s = socket.socket(socket.AF_INET, socket.SOCK_STREAM); s.connect(('172.148.201.106', 725)); s.close()"
  
  Write-Host "[+] Symulacja zakończona."

• Polecenia czyszczące:

  # Brak trwałych artefaktów stworzonych przez ten skrypt;
  # jednak upewnij się, że wszelkie tymczasowe procesy Pythona są zakończone.
  Stop-Process -Name "python" -ErrorAction SilentlyContinue