Evolução do ClickFix Tradecraft Além dos Ataques Baseados em Clipboard

Resumo

ClickFix é uma técnica de engenharia social que engana os usuários a executarem comandos maliciosos por meio de falsas solicitações de verificação do navegador. Atores de ameaças continuam a evoluir o método para entregar uma ampla gama de cargas, incluindo RATs, loaders e infostealers. Variantes mais recentes incorporam entrega esteganográfica e cadeias de execução semeadas em cache de navegador.

Investigação

A Huntress investigou múltiplas variantes de ClickFix envolvendo campanhas de malvertising, cybersquatting e envenenamento de SEO. Pesquisadores identificaram cadeias de ataque usando RATs baseados em Node.js, como DuskDesk, carregamento de DLL com binários legítimos da Microsoft e esteganografia em PNG para ocultar cargas executáveis. A investigação também revelou atividade de movimento lateral visando controladores de domínio através de protocolos nativos do Windows.

Mitigação

As organizações devem treinar os usuários a não colarem comandos de páginas da web em terminais ou diálogos de execução. Controles técnicos devem incluir listas de permissão de aplicações, bloqueio de execução a partir de locais graváveis pelo usuário como Temp e monitoramento para tarefas agendadas suspeitas ou chaves de execução. Restringir privilégios de administrador local também é fortemente recomendado.

Resposta

Quando a atividade ClickFix é detectada, as equipes de segurança devem focar em sequências de comportamento suspeitas em vez de confiar apenas em IOCs estáticos. Procure por navegadores iniciando cmd.exe ou PowerShell, arquivos compactados inesperados aparecendo em diretórios Temp e novas tarefas agendadas criadas. Investigue túneis SSH reversos não autorizados e conexões de rede incomuns originadas de node.exe.

Execução de Simulação

• Narrativa e Comandos de Ataque: O adversário utiliza uma tática de engenharia social (ClickFix) onde o usuário é solicitado a “corrigir” um erro do navegador executando um arquivo baixado. Nesta simulação, imitamos isso fazendo com que o usuário inicie um .bat arquivo de uma pasta, o qual por sua vez inicia cmd.exe para executar um comando PowerShell. Isso cria a telemetria específica (cmd.exe iniciando PowerShell e a execução de um arquivo .bat) que a regra foi projetada para capturar.

• Script de Teste de Regressão:

  # Script de Simulação: Comportamento estilo ClickFix
  # 1. Crie um arquivo de lote fictício para imitar uma carga útil baixada
  $batchPath = "$env:TEMPupdate_fix.bat"
  "@echo off`npowershell.exe -NoProfile -ExecutionPolicy Bypass -Command `"Write-Host 'Simulating Payload Delivery...'`"" | Out-File -FilePath $batchPath -Encoding ascii
  
  # 2. Execute o arquivo de lote (Isso aciona a parte 'selection_batch' da regra)
  Write-Host "[!] Executando arquivo de lote malicioso simulado..."
  Start-Process "cmd.exe" -ArgumentList "/c $batchPath" -Wait
  
  # 3. Simulando PowerShell iniciado a partir do explorer (Isso aciona 'selection_powershell')
  # Nota: Para simular a origem explorer.exe em um script, usamos uma abordagem de sub-shell
  Write-Host "[!] Simulando PowerShell iniciado a partir do contexto Explorer..."
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -Command `"Write-Host 'Simulated PowerShell from Explorer'`""

• Comandos de Limpeza:

  # Limpeza: Remova os arquivos maliciosos simulados
  Remove-Item -Path "$env:TEMPupdate_fix.bat" -ErrorAction SilentlyContinue
  Write-Host "[+] Limpeza completa."