Еволюція тактики ClickFix виходить за межі атак на основі буфера обміну

Резюме

ClickFix – це техніка соціальної інженерії, яка обманює користувачів запускати шкідливі команди через фальшиві підказки верифікації браузера. Зловмисники продовжують розвивати цей метод для доставки широкого спектру корисних навантажень, включаючи RAT, лоадери та інфостілери. Нові варіанти включають стеганографічну доставку та виконання через браузерний кеш.

Розслідування

Huntress дослідив кілька варіантів ClickFix, які включають зловмисну рекламу, тайпоскуаттинг та кампанії отруєння SEO. Дослідники виявили ланцюжки атак з використанням RAT на базі Node.js, як-от DuskDesk, DLL-завантаження з легітимними бінарями Microsoft та стеганографія PNG для приховування виконуваних навантажень. Розслідування також виявило активність бокового руху, що націлена на доменні контролери через вбудовані протоколи Windows.

Захист

Організації повинні навчати користувачів не вставляти команди з веб-сторінок у термінали або діалоги запуску. Технічний контроль має включати дозволяючі списки додатків, блокування виконання з місць, які можуть бути записані користувачем, таких як Temp, і моніторинг підозрілих запланованих завдань або ключів запуску. Також настійно рекомендується обмежити привілеї локального адміністратора.

Відповідь

Коли активність ClickFix виявлена, команди з безпеки повинні зосередитися на послідовностях підозрілої поведінки, аніж покладатися лише на статичні IOC. Шукайте браузери, що породжують cmd.exe або PowerShell, несподівані архіви, що з’являються в каталогах Temp, і новостворені заплановані завдання. Досліджуйте несанкціоновані зворотні SSH-тунелі та незвичайні мережеві підключення, що виходять з node.exe.

Імітація виконання

• Наратив атаки та команди: Супротивник використовує тактику соціальної інженерії (ClickFix), коли користувач спонукається “виправити” помилку браузера, запустивши завантажений файл. У цій симуляції ми імітуємо це, попросивши користувача запустити .bat файл з папки, що, в свою чергу, породжує cmd.exe для виконання команди PowerShell. Це створює специфічну телеметрію (cmd.exe породжує PowerShell і виконує .bat файл), яку правило націлено виявити.

• Скрипт регресійного тестування:

  # Скрипт імітації: Поведінка у стилі ClickFix
  # 1. Створення фіктивного batch-файлу для імітації завантаженого корисного навантаження
  $batchPath = "$env:TEMPupdate_fix.bat"
  "@echo off`npowershell.exe -NoProfile -ExecutionPolicy Bypass -Command `"Write-Host 'Simulating Payload Delivery...'`"" | Out-File -FilePath $batchPath -Encoding ascii
  
  # 2. Виконання batch-файлу (це тригерить частину правила 'selection_batch')
  Write-Host "[!] Виконання імітованого шкідливого batch-файлу..."
  Start-Process "cmd.exe" -ArgumentList "/c $batchPath" -Wait
  
  # 3. Імітація PowerShell, створеного з explorer (це тригерить 'selection_powershell')
  # Примітка: Щоб імітувати батьківство explorer.exe у скрипті, ми використовуємо підоболонний підхід
  Write-Host "[!] Імітація PowerShell, створеного з контексту Explorer..."
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -Command `"Write-Host 'Simulated PowerShell from Explorer'`""

• Команди очищення:

  # Очищення: Видалення імітованих шкідливих файлів
  Remove-Item -Path "$env:TEMPupdate_fix.bat" -ErrorAction SilentlyContinue
  Write-Host "[+] Очищення завершено."