ClickFix-Kampagne nutzt Amazon-Köder zur Verbreitung von Malware

Zusammenfassung

Bedrohungsakteure missbrauchen gesponserte Google-Suchergebnisse für „amazon business“, um Benutzer auf eine gefälschte Amazon-Anmeldeseite umzuleiten. Die Seite verwendet eine ClickFix-Social-Engineering-Technik, um Opfer dazu zu bringen, einen Befehl über den Windows-Ausführen-Dialog auszuführen. Dieser Befehl missbraucht die veraltete Finger Dienstprogramm, um eine mehrstufige Malware-Kette herunterzuladen und zu starten, die Doina, Lumma Stealer und NetSupport RMM umfasst.

Untersuchung

Huntress untersuchte mehrere Vorfälle, die mit einer Amazon-ClickFix-Kampagne in Verbindung stehen. Analysten analysierten die Infektionskette rückwärts und identifizierten das Finger Dienstprogramm, das als LOLBIN missbraucht wird, um eine weaponisierte .plan Datei abzurufen. Die Untersuchung verfolgte die Bereitstellung von IronPython, dem Doina RAT und schließlich dem Lumma Stealer über einen Node.js-basierten Loader.

Minderung

Der primäre Schutz ist die Sensibilisierung der Benutzer für gefälschte CAPTCHA-Eingabeaufforderungen, die die Ausführung von Terminalbefehlen anweisen. Organisationen sollten in Betracht ziehen, den Windows-Ausführen-Dialog für Nutzer, die ihn nicht benötigen, durch verwaltete Endpunktsicherheitskontrollen zu deaktivieren. Die Überwachung auf ungewöhnlichen Verkehr über TCP-Port 79, der von Finger und Malvertising-Indikatoren in Webprotokollen verwendet wird, kann auch eine frühzeitige Erkennung unterstützen.

Reaktion

Wenn diese Aktivität erkannt wird, isolieren Sie die betroffenen Endpunkte, um weitere Datenexfiltration oder laterale Bewegungen zu verhindern. Überprüfen und blockieren Sie identifizierte C2-Domains mit Barbecue-Thema und schädliche IP-Adressen. Führen Sie eine gründliche Suche nach unautorisierter RMM-Software wie NetSupport und verdächtigen Node.js-Prozessen durch, die von nicht standardmäßigen Standorten ausgeführt werden, einschließlich C:ProgramData.

Simulation Execution

• Angriffserzählung & Befehle: Ein Angreifer hat ersten Zugang erlangt und versucht, Persistenz und Kommando-und-Kontrolle (C2) zu etablieren. Um sich in den allgemeinen administrativen Datenverkehr einzupassen und bekannte Protokollanfälligkeiten auszunutzen, verwenden sie ein Python-Skript, um eine Verbindung über Port 79 (Finger-Protokoll) herzustellen. Gleichzeitig versuchen sie, eine NetSupport-Client-Instanz zu nutzen, um Werkzeuge zu übertragen, und zielen dabei speziell auf eine bekannte bösartige IP (172.148.201.106) auf Port 725 ab, um eine Hintertür offen zu halten.

• Regressionstest-Skript:

  # Simulationsskript zum Auslösen der Erkennungsregel
  # Voraussetzung: Python muss auf dem Ziel installiert sein
  
  Write-Host "[+] Beginn der Simulation..."
  
  # 1. Auslöserwahl Eins: Verbindung zu Port 79
  Write-Host "[+] Port 79 (Finger) Verbindung auslösen..."
  python -c "import socket; s = socket.socket(socket.AF_INET, socket.SOCK_STREAM); s.connect(('127.0.0.1', 79)); s.close()"
  
  # 2. Auslöserwahl Zwei: Verbindung zu 172.148.201.106 auf Port 725
  Write-Host "[+] NetSupport (IP: 172.148.201.106, Port: 725) Verbindung auslösen..."
  python -c "import socket; s = socket.socket(socket.AF_INET, socket.SOCK_STREAM); s.connect(('172.148.201.106', 725)); s.close()"
  
  Write-Host "[+] Simulation abgeschlossen."

• Bereinigungskommandos:

  # Keine dauerhaften Artefakte, die durch dieses Skript erstellt wurden;
  # stellen Sie jedoch sicher, dass alle temporären Python-Prozesse beendet werden.
  Stop-Process -Name "python" -ErrorAction SilentlyContinue