Le tattiche di ClickFix si evolvono oltre gli attacchi basati sugli appunti

Riassunto

ClickFix è una tecnica di ingegneria sociale che inganna gli utenti facendo eseguire comandi dannosi attraverso falsi prompt di verifica del browser. Gli attori delle minacce continuano a evolvere il metodo per fornire una vasta gamma di payload, inclusi RAT, loader e infostealer. Le varianti più recenti incorporano la consegna steganografica e catene di esecuzione seminate nella cache del browser.

Indagine

Huntress ha indagato su più varianti di ClickFix che coinvolgono campagne di malvertising, typosquatting e SEO poisoning. I ricercatori hanno identificato catene di attacco che utilizzano RAT basati su Node.js come DuskDesk, caricamento laterale di DLL con binari Microsoft legittimi e steganografia PNG per nascondere i payload eseguibili. L’indagine ha anche rivelato attività di movimento laterale che prendono di mira i controller di dominio tramite i protocolli nativi di Windows.

Mitigazione

Le organizzazioni dovrebbero formare gli utenti a non incollare comandi dalle pagine web nei terminali o nelle finestre di dialogo Esegui. I controlli tecnici dovrebbero includere la whitelist delle applicazioni, il blocco dell’esecuzione da posizioni scrivibili dall’utente come Temp e il monitoraggio di attività di pianificazione sospette o chiavi Run. È inoltre fortemente consigliata la limitazione dei privilegi di amministratore locale.

Risposta

Quando viene rilevata un’attività ClickFix, i team di sicurezza dovrebbero concentrarsi su sequenze di comportamento sospette piuttosto che affidarsi solo a IOC statici. Osservare la generazione di browser cmd.exe o PowerShell, archivi imprevisti che appaiono nelle directory Temp e attività di pianificazione di nuovo conio. Indagare su tunnel SSH inversi non autorizzati e connessioni di rete insolite originate da node.exe.

Esecuzione di Simulazione

• Narrazione dell’Attacco e Comandi: L’avversario utilizza una tattica di ingegneria sociale (ClickFix) in cui all’utente viene chiesto di “correggere” un errore del browser eseguendo un file scaricato. In questa simulazione, imitiamo ciò facendo avviare all’utente un .bat file da una cartella, che a sua volta genera cmd.exe per eseguire un comando PowerShell. Questo crea la telemetria specifica (cmd.exe che genera PowerShell e l’esecuzione di un file .bat) che la regola è progettata per catturare.

• Script di Test di Regressione:

  # Script di Simulazione: Comportamento in stile ClickFix
  # 1. Creare un file batch fittizio per imitare un payload scaricato
  $batchPath = "$env:TEMPupdate_fix.bat"
  "@echo off`npowershell.exe -NoProfile -ExecutionPolicy Bypass -Command `"Write-Host 'Simulating Payload Delivery...'`"" | Out-File -FilePath $batchPath -Encoding ascii
  
  # 2. Eseguire il file batch (questo attiva la parte 'selection_batch' della regola)
  Write-Host "[!] Esecuzione di file batch malevolo simulato..."
  Start-Process "cmd.exe" -ArgumentList "/c $batchPath" -Wait
  
  # 3. Simulazione di PowerShell avviato da explorer (questo attiva 'selection_powershell')
  # Nota: per simulare l'origine explorer.exe in uno script, si utilizza un approccio sottoshall
  Write-Host "[!] Simulazione di PowerShell avviato dal contesto Explorer..."
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -Command `"Write-Host 'Simulated PowerShell from Explorer'`""

• Comandi di Pulizia:

  # Pulizia: Rimuovere i file malevoli simulati
  Remove-Item -Path "$env:TEMPupdate_fix.bat" -ErrorAction SilentlyContinue
  Write-Host "[+] Pulizia completata."