Кампанія з поширення ClickFix Malware повертається з новими тактиками доставки

Резюме

Виявлено нову кампанію ClickFix, що використовує фальшиві сторінки перевірки Cloudflare для цілей як користувачів macOS, так і Windows. Кампанія використовує шкідливі домени для розміщення обманного контенту та розповсюдження шкідливого програмного забезпечення. Конкретний шкідливий програмний пакет не вдалося отримати під час цього розслідування через помилки сервера та проблеми з розв’язанням.

Розслідування

Дослідник проаналізував трафік від фальшивих сторінок перевірки та ідентифікував ланцюг URL-адрес, розміщених на певному шкідливому домені. Спроби отримати шкідливе ПЗ для Windows призвели до помилки 403 Заборонено, тоді як спеціальна команда для macOS привела до домену, який не вдалося розв’язати. Розслідування зосередилося на шаблонах URL і інфраструктурі розміщення, яка використовується для обманних скриптів.

Пом’якшення

Користувачів слід навчити розпізнавати фальшиві сторінки перевірки та уникати виконання команд або завантаження файлів, запропонованих несподіваними підказками браузера. Організації повинні впроваджувати веб-фільтрацію для блокування відомих шкідливих доменів, ідентифікованих у цій кампанії. Також рекомендується моніторинг незвичайних виконань процесів після взаємодії з веб.

Відповідь

Після виявлення зв’язку з ідентифікованими шкідливими доменами ізолюйте уражений хост з мережі. Проведіть судово-медичний аналіз кінцевої точки, щоб визначити, чи були виконані якісь команди або чи було завантажено шкідливе ПЗ. Перегляньте журнали веб-проксі, щоб ідентифікувати інші потенційно скомпрометовані внутрішні хости, які спілкуються з ідентифікованою інфраструктурою.

Виконання Симуляції

• Опис Атаки та Команди: Зловмиснику вдалося соціально інженерити користувача, щоби він відвідав фальшиву сторінку “Cloudflare Verification”. Під час завантаження сторінки браузер автоматично робить кілька запитів до домену під контролем атаки js-static.cfd щоб завантажити оманливі візуальні елементи (шрифти та логотипи) та основну шкідливу логіку (embed.js). Ця симуляція використовує curl для імітації GET-запитів браузера до цих специфічних URL для активації правила виявлення, заснованого на проксі.

• Скрипт Тесту Регресії:

  #!/bin/bash
  # Симуляційний Скрипт для Кампанії ClickFix
  # Мета: Генерація телеметрії, що відповідає шаблонам правил Sigma
  
  echo "[*] Початок симуляції ClickFix..."
  
  # Цільовий домен: js-static.cfd
  # Симуляція різних URL, ідентифікованих у логіці виявлення
  
  echo "[+] Симуляція: Завантаження шкідливого вбудованого скрипта..."
  curl -s -o /dev/null "http://js-static.cfd/embed.js?v=24"
  
  echo "[+] Симуляція: Хіт АPI телеметрії..."
  curl -s -o /dev/null "http://js-static.cfd/api/s/hit"
  
  echo "[+] Симуляція: Завантаження неправдивих активів Cloudflare (Логотип/Шрифти)..."
  curl -s -o /dev/null "http://js-static.cfd/static/CF-Logo 1.png"
  curl -s -o /dev/null "http://js-static.cfd/static/fonts/jetbrains-mono-600.woff2"
  
  echo "[+] Симуляція: Трек події API..."
  curl -s -o /dev/null "http://js-static.cfd/api/track/event"
  
  echo "[*] Симуляція завершена. Перевірте SIEM для сповіщень."

• Команди Очищення:

  # Не вносилися жодні постійні зміни в систему. 
  # Якщо файли були завантажені, видаліть їх.
  rm -f embed.js CF-Logo*.png
  echo "[*] Очищення завершено."