Kampania złośliwego oprogramowania ClickFix powraca z nowymi taktykami dostarczania

Podsumowanie

Zidentyfikowano nową kampanię ClickFix wykorzystującą fałszywe strony weryfikacyjne Cloudflare do ataków na użytkowników macOS i Windows. Kampania wykorzystuje złośliwe domeny do hostowania zwodniczej treści i dystrybucji złośliwego oprogramowania. Konkretnego ładunku złośliwego nie udało się odzyskać podczas tego dochodzenia z powodu błędów serwera i problemów z rozwiązywaniem adresów.

Śledztwo

Śledczy przeanalizował ruch generowany przez fałszywe strony weryfikacyjne i zidentyfikował łańcuch URL-i hostowanych na konkretnej złośliwej domenie. Próby odzyskania złośliwego oprogramowania dla Windows zakończyły się błędem 403 Forbidden, podczas gdy polecenie związane z macOS prowadziło do domeny, która nie mogła zostać rozwiązana. Dochodzenie skupiało się na wzorcach URL-i oraz infrastrukturze hostingowej używanej do zwodniczych skryptów.

Łagodzenie

Użytkownicy powinni być edukowani, aby rozpoznawali fałszywe strony weryfikacyjne i unikali wykonywania poleceń lub pobierania plików sugerowanych przez nieoczekiwane komunikaty przeglądarki. Organizacje powinny wdrożyć filtrowanie sieciowe, aby blokować znane złośliwe domeny zidentyfikowane w tej kampanii. Zaleca się również monitorowanie nietypowych uruchomień procesów po interakcjach webowych.

Reakcja

Po wykryciu komunikacji z zidentyfikowanymi złośliwymi domenami, należy odizolować zaatakowany host od sieci. Przeprowadzić analizę komputerowo-śledczą końcówki w celu ustalenia, czy wykonano jakiekolwiek polecenia lub czy złośliwe oprogramowanie zostało pomyślnie pobrane. Przeglądanie dzienników proxy sieciowych może pomóc w identyfikacji innych potencjalnie zainfekowanych hostów wewnętrznych komunikujących się z zidentyfikowaną infrastrukturą.

Wykonanie Symulacji

• Narracja Ataku i Polecenia: Przeciwnik z powodzeniem zastosował socjotechnikę, aby użytkownik odwiedził fałszywą stronę 'Weryfikacji Cloudflare’. Gdy strona się ładuje, przeglądarka automatycznie wykonuje kilka żądań do domeny kontrolowanej przez atakującego js-static.cfd aby pobrać zwodnicze elementy wizualne (czcionki i logo) oraz podstawową złośliwą logikę (embed.js). Ta symulacja używa curl do symulacji żądań GET przeglądarki dla tych konkretnych URL-i, aby wywołać regułę detekcji opartą na proxy.

• Skrypt testowy regresji:

  #!/bin/bash
  # Symulacyjny skrypt kampanii ClickFix
  # Cel: Generowanie telemetrii pasującej do wzorców reguł Sigma
  
  echo "[*] Rozpoczynanie symulacji ClickFix..."
  
  # Domena docelowa: js-static.cfd
  # Symulacja różnych URLi zidentyfikowanych w logice detekcji
  
  echo "[+] Symulacja: Ładowanie złośliwego skryptu osadzonego..."
  curl -s -o /dev/null "http://js-static.cfd/embed.js?v=24"
  
  echo "[+] Symulacja: Trafienie API telemetrycznego..."
  curl -s -o /dev/null "http://js-static.cfd/api/s/hit"
  
  echo "[+] Symulacja: Ładowanie fałszywych zasobów Cloudflare (Logo/Czcionki)..."
  curl -s -o /dev/null "http://js-static.cfd/static/CF-Logo 1.png"
  curl -s -o /dev/null "http://js-static.cfd/static/fonts/jetbrains-mono-600.woff2"
  
  echo "[+] Symulacja: Wydarzenie śledzenia API..."
  curl -s -o /dev/null "http://js-static.cfd/api/track/event"
  
  echo "[*] Symulacja zakończona. Sprawdź ostrzeżenia w SIEM."

• Polecenia czyszczenia:

  # Nie wprowadzono trwałych zmian w systemie.
  # Jeśli pliki zostały pobrane, usuń je.
  rm -f embed.js CF-Logo*.png
  echo "[*] Czyszczenie zakończone."