La Campagna Malware ClickFix Ritorna Con Nuove Tattiche di Distribuzione

Sommario

È stata identificata una nuova campagna ClickFix che utilizza false pagine di verifica Cloudflare per colpire sia utenti macOS che Windows. La campagna impiega domini malevoli per ospitare contenuti ingannevoli e distribuire malware. Durante questa indagine non è stato possibile recuperare il payload specifico del malware a causa di errori del server e fallimenti di risoluzione.

Indagine

L’investigatore ha analizzato il traffico generato dalle pagine di verifica false e identificato una catena di URL ospitati su un dominio malevolo specifico. I tentativi di recuperare il malware per Windows hanno comportato un errore 403 Forbidden, mentre il comando specifico per macOS ha portato a un dominio che non è riuscito a risolvere. L’indagine si è concentrata sui modelli URL e l’infrastruttura di hosting utilizzata per gli script ingannevoli.

Mitigazione

Gli utenti dovrebbero essere istruiti a riconoscere le false pagine di verifica ed evitare di eseguire comandi o scaricare file suggeriti da avvisi del browser inaspettati. Le organizzazioni dovrebbero implementare un filtro web per bloccare i domini dannosi noti identificati in questa campagna. È anche raccomandato monitorare esecuzioni di processi non usuali in seguito a interazioni web.

Risposta

Dopo aver rilevato la comunicazione con i domini malevoli identificati, isolare l’host colpito dalla rete. Condurre un’analisi forense del punto finale per determinare se sono stati eseguiti comandi o se il malware è stato scaricato con successo. Esaminare i log proxy web per individuare altri potenzialmente compromessi host interni che comunicano con l’infrastruttura identificata.

Esecuzione della Simulazione

• Narrativa e Comandi dell’Attacco: L’avversario è riuscito a persuadere un utente a visitare una falsa pagina di “Verifica Cloudflare”. Quando la pagina si carica, il browser effettua automaticamente diverse richieste al dominio controllato dall’attaccante js-static.cfd per ottenere elementi visivi ingannevoli (font e loghi) e la logica malevola principale (embed.js). Questa simulazione utilizza curl per imitare le richieste GET del browser per questi URL specifici al fine di attivare la regola di rilevamento basata su proxy.

• Script di Test di Regressione:

  #!/bin/bash
  # Script di Simulazione della Campagna ClickFix
  # Scopo: Generare telemetria che corrisponda ai modelli di regole Sigma
  
  echo "[*] Avvio della Simulazione ClickFix..."
  
  # Dominio di Destinazione: js-static.cfd
  # Simulazione di vari URL identificati nella logica di rilevamento
  
  echo "[+] Simulazione: Caricamento dello script embed malevolo..."
  curl -s -o /dev/null "http://js-static.cfd/embed.js?v=24"
  
  echo "[+] Simulazione: Hit della telemetria API..."
  curl -s -o /dev/null "http://js-static.cfd/api/s/hit"
  
  echo "[+] Simulazione: Caricamento di asset falsi Cloudflare (Logo/Font)..."
  curl -s -o /dev/null "http://js-static.cfd/static/CF-Logo 1.png"
  curl -s -o /dev/null "http://js-static.cfd/static/fonts/jetbrains-mono-600.woff2"
  
  echo "[+] Simulazione: Evento di tracciamento API..."
  curl -s -o /dev/null "http://js-static.cfd/api/track/event"
  
  echo "[*] Simulazione Completata. Controllare SIEM per gli avvisi."

• Comandi di Pulizia:

  # Nessuna modifica persistente apportata al sistema. 
  # Se i file erano stati scaricati, rimuoverli.
  rm -f embed.js CF-Logo*.png
  echo "[*] Pulizia completata."