ClickFix-Handwerk entwickelt sich über Zwischenablage-basierte Angriffe hinaus

Zusammenfassung

ClickFix ist eine Social-Engineering-Technik, die Benutzer dazu verleitet, bösartige Befehle über gefälschte Browser-Verifizierungsaufforderungen auszuführen. Bedrohungsakteure entwickeln die Methode weiter, um eine Vielzahl von Nutzlasten, einschließlich RATs, Loadern und Infostealern, auszuliefern. Neuere Varianten beinhalten steganografische Lieferung und Ausführungsketten, die im Browser-Cache gestartet werden.

Untersuchung

Huntress untersuchte mehrere ClickFix-Varianten, die Malvertising-, Typosquatting- und SEO-Poisoning-Kampagnen betreffen. Forscher identifizierten Angriffsketten, die Node.js-basierte RATs wie DuskDesk, DLL-Sideloading mit legitimen Microsoft-Binärdateien und PNG-Steganographie zur Verbergung ausführbarer Nutzlasten verwenden. Die Untersuchung enthüllte auch laterale Bewegungsaktivitäten, die auf Domänencontroller über native Windows-Protokolle abzielen.

Minderung

Organisationen sollten Benutzer schulen, keine Befehle von Webseiten in Terminals oder Ausführen-Dialoge einzufügen. Technische Kontrollen sollten die Anwendung von Allowlisting, das Blockieren der Ausführung aus benutzerbeschreibbaren Orten wie Temp und die Überwachung verdächtiger geplanter Aufgaben oder Run-Keys umfassen. Die Einschränkung von lokalen Administratorrechten wird ebenfalls dringend empfohlen.

Reaktion

Wird ClickFix-Aktivität erkannt, sollten Sicherheitsteams sich auf verdächtige Verhaltenssequenzen konzentrieren, anstatt sich ausschließlich auf statische IOCs zu verlassen. Achten Sie auf Browser, die cmd.exe oder PowerShell aufrufen, unerwartete Archive, die in Temp-Verzeichnissen erscheinen, und neu erstellte geplante Aufgaben. Untersuchen Sie nicht autorisierte Reverse-SSH-Tunnel und ungewöhnliche Netzwerkverbindungen, die von node.exe.

Simulationsausführung

• Angriffs-Narrativ & Befehle: Der Angreifer nutzt eine Social-Engineering-Taktik (ClickFix), bei der ein Benutzer aufgefordert wird, einen Browserfehler zu „beheben“, indem er eine heruntergeladene Datei ausführt. In dieser Simulation ahmen wir dies nach, indem wir den Benutzer ein .bat -Datei aus einem Ordner starten lassen, die wiederum cmd.exe ausführt, um einen PowerShell-Befehl auszuführen. Dies erzeugt die spezifische Telemetrie (cmd.exe ruft PowerShell auf und die Ausführung einer .bat-Datei), die die Regel erfassen soll.

• Regressionstest-Skript:

  # Simulationsskript: ClickFix-ähnliches Verhalten
  # 1. Erzeugen Sie eine Dummy-Batch-Datei, um eine heruntergeladene Nutzlast nachzuahmen
  $batchPath = "$env:TEMPupdate_fix.bat"
  "@echo off`npowershell.exe -NoProfile -ExecutionPolicy Bypass -Command `"Write-Host 'Simulating Payload Delivery...'`"" | Out-File -FilePath $batchPath -Encoding ascii
  
  # 2. Führen Sie die Batch-Datei aus (Dies löst den 'selection_batch'-Teil der Regel aus)
  Write-Host "[!] Ausführen einer simulierten bösartigen Batch-Datei..."
  Start-Process "cmd.exe" -ArgumentList "/c $batchPath" -Wait
  
  # 3. Simulieren der von explorer aufgerufenen PowerShell (Dies löst 'selection_powershell' aus)
  # Hinweis: Um die explorer.exe-Elternschaft in einem Skript zu simulieren, verwenden wir einen Sub-Shell-Ansatz
  Write-Host "[!] Simulieren von PowerShell, die vom Explorer-Kontext aus aufgerufen wird..."
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -Command `"Write-Host 'Simulated PowerShell from Explorer'`""

• Bereinigungsbefehle:

  # Bereinigung: Entfernen der simulierten bösartigen Dateien
  Remove-Item -Path "$env:TEMPupdate_fix.bat" -ErrorAction SilentlyContinue
  Write-Host "[+] Bereinigung abgeschlossen."