ClickFix-Kampagne durch KI generiert liefert SmartRAT

SOC Prime Team

Folgen

ClickFix-Kampagne durch KI generiert liefert SmartRAT

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Bedrohungsakteure nutzen KI-gesteuerte Webseiten-Builder, um überzeugende Phishing-Seiten zu erstellen, die brasilianische Bankmarken nachahmen. Diese Seiten verlassen sich auf die ClickFix-Technik, indem sie gefälschte CAPTCHA-Prüfungen und Systemwiederherstellungsnachrichten verwenden, um Opfer dazu zu bringen, bösartige PowerShell-Befehle auszuführen. Das Ergebnis ist die Bereitstellung von SmartRAT, einem PowerShell-basierten Banking-Trojaner, der für Fernzugriff und Diebstahl von Finanzinformationen entwickelt wurde.

Untersuchung

Zscaler ThreatLabz identifizierte mehrere Typosquatting-Domains und analysierte die gesamte Infektionskette, wobei KI-generierte Codekommentare und Skripte beobachtet wurden, die darauf ausgelegt sind, einer Inspektion zu widerstehen. Die Untersuchung deckte auch eine Schwäche im KI-erstellten Command-and-Control-Panel auf, die eine Authentifizierungsumgehung durch clientseitige localStorage Manipulation ermöglicht. Forscher dekodierten zudem das SmartRAT-Kommunikationsprotokoll und dokumentierten dessen Einsatz von AES-CBC-Verschlüsselung.

Minderung

Organisationen sollten Webfilterung einsetzen, um bekannte Typosquatting- und bösartige Domains zu blockieren. Endpunktschutzmaßnahmen sollten konfiguriert werden, um verdächtige PowerShell-Aktivitäten und unautorisierte geplante Aufgaben zu erkennen und einzuschränken. Schulungsmaßnahmen zur Benutzeraufklärung sollten Mitarbeiter darin unterweisen, soziale ClickFix-Techniken, einschließlich gefälschter Bluescreen-, Wiederherstellungs- oder CAPTCHA-Eingabeaufforderungen, zu erkennen.

Reaktion

Wird SmartRAT-Aktivität festgestellt, müssen betroffene Endpunkte umgehend isoliert werden, um Command-and-Control-Verkehr zu stoppen und weitere Bewegungen einzuschränken. Führen Sie eine forensische Analyse durch, um die Persistenzmethode zu ermitteln, sei es dienstbasiert oder auf geplanten Aufgaben beruhend, und suchen Sie nach verwandten Artefakten wie msedgeupdate.txt. Überprüfen Sie Webproxys-Logs auf Traffic zur identifizierten Infrastruktur und leiten Sie gegebenenfalls Passwortzurücksetzungen für betroffene Benutzer ein.

"graph TB %% Abschnitt mit Klassendefinitionen classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef technique fill:#ccffcc %% Phase des Anfangszugangs und der Ausführung action_phishing["Aktion – T1566 Phishing Bedrohungsakteure nutzen Typosquatting-Domains und KI-generierte Websites, um Opfer anzulocken."] class action_phishing action action_clickfix["Aktion – T1204.004 Benutzer-Ausführung: Bösartiges Kopieren und Einfügen Trickt Benutzer dazu, einen bösartigen PowerShell-Befehl in das Windows Ausführen-Feld einzufügen."] class action_clickfix action action_ingress["Aktion – T1105 Ingress-Tool-Transfer Lädt einen getarnten Dropper namens st.txt herunter von der entfernten IP 64.95.13.238."] class action_ingress action tool_dropper["Tool – Name: st.txt Beschreibung: Verdeckter Dropper zur Bereitstellung der primären Malware."] class tool_dropper tool %% Phase der Malware-Ausführung und -Persistenz malware_smartrat["Malware – Name: SmartRAT Beschreibung: Primärer RAT für Überwachung und Diebstahl von Finanzdaten."] class malware_smartrat malware action_user_exec_file["Aktion – T1204.002 Benutzer-Ausführung: Bösartige Datei Führt die primäre SmartRAT-Malware aus."] class action_user_exec_file action action_gather_info["Aktion – T1592.001/002 Informationen über das Opfergerät sammeln Sammelt Hard- und Software- sowie OS-Details , um ein eindeutiges Identitätstoken zu erstellen."] class action_gather_info action action_persistence_service["Aktion – T1543.003 Systemprozess erstellen oder ändern: Windows-Dienst Erstellt einen Windows-Dienst namens MicrosoftEdgeUpdateCore zur Persistenz."] class action_persistence_service action action_persistence_registry["Aktion – Persistenz über Registry-Runschlüssel Verwendet Registry-Runschlüssel, um den Zugang aufrechtzuerhalten."] class action_persistence_registry action action_priv_esc["Aktion – T1548 Privilegieneskalation Fragt nach UAC-Erhöhung, um den Dienst mit SYSTEM-Rechten auszuführen."] class action_priv_esc action %% Phase von Command and Control und Exfiltration action_c2["Aktion – T1071 Command and Control Verwendet rohe TCP-Sockets auf nicht-standard Port 51888 für Kommunikation."] class action_c2 action action_exfiltrate["Aktion – T1041 Exfiltration über C2-Kanal Stiehlt Finanzdaten über die etablierte C2-Verbindung."] class action_exfiltrate action %% Phase der Post-Exploitation und Umgehung action_video_capture["Aktion – T1125 Videoerfassung Führt Bildschirmübertragung zur Überwachung durch."] class action_video_capture action action_input_tracking["Aktion – T1056 Eingabe-Tracking Verwendet Keylogging zur Überwachung von Benutzereingaben."] class action_input_tracking action action_mfa_interception["Aktion – T1111 Abfangen von Mehrfaktor-Authentifizierung Verwendet markenähnliche Overlays zum Stehlen von MFA-Tokens."] class action_mfa_interception action action_masquerading["Aktion – T1036 Tarnung Verwendet Tarnungsdateinamen wie msedge.txt zur Erkennungsevasion."] class action_masquerading action action_file_deletion["Aktion – T1070.004 Indikator-Entfernung: Datei-Löschung Verwendet einen Deinstallationsbefehl, um den forensischen Fußabdruck zu reduzieren."] class action_file_deletion action %% Verbindungfluss action_phishing –>|führt zu| action_clickfix action_clickfix –>|führt zu| action_ingress action_ingress –>|lädt herunter| tool_dropper tool_dropper –>|führt aus| action_user_exec_file action_user_exec_file –>|startet| malware_smartrat malware_smartrat –>|führt aus| action_gather_info malware_smartrat –>|erstellt| action_persistence_service malware_smartrat –>|erstellt| action_persistence_registry malware_smartrat –>|versucht| action_priv_esc action_priv_esc –>|ermöglicht| action_c2 action_c2 –>|wird verwendet für| action_exfiltrate action_c2 –>|wird verwendet für| action_video_capture action_c2 –>|wird verwendet für| action_input_tracking action_c2 –>|wird verwendet für| action_mfa_interception malware_smartrat –>|nutzt| action_masquerading malware_smartrat –>|führt aus| action_file_deletion "

Angriffsfluss

Ansehen

## Simulation der Ausführung

Voraussetzung: Der Telemetrie- und Basislinien-Vorflugtest muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die dazu ausgelegt ist, die Erkennungsregel auszulösen. Die Befehle und Erzählung MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, genau die Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

Angriffserzählung & Befehle: Der Angreifer hat über eine Phishingkampagne (T1566) erfolgreich Zugang erhalten und versucht nun, Persistenz zu etablieren. Um sich in die legitimen Systemaktivitäten einzufügen, verwendet der Angreifer einen „Living-off-the-Land“-Ansatz, indem er einen bösartigen Befehl ausführt, der als Microsoft Edge-Update-Prozess (T1036) getarnt ist. Der Angreifer führt einen Kommandozeilenbefehl aus, der die Zeichenfolge msedgeupdate.txt enthält, um einen simulierten Persistenzmechanismus zu starten, der in der realen Welt die Erstellung einer geplanten Aufgabe oder eines Dienstes umfassen würde.

Regressionstest-Skript:

# SmartRAT-Persistenz-Simulationsskript
# Dieses Skript generiert die spezifische Kommandozeilen-Telemetrie, die erforderlich ist, um die Erkennungsregel auszulösen.

$TargetString = "msedgeupdate.txt"
$FakePath = "C:UsersPublicDocuments$TargetString"

# Erstellen Sie eine Dummy-Datei, um die Befehlszeile etwas realistischer erscheinen zu lassen
New-Item -Path $FakePath -ItemType File -Force | Out-Null

Write-Host "[+] Simulieren der SmartRAT-Persistenz über Befehlszeile: $TargetString" -ForegroundColor Cyan

# Führen Sie den Befehl aus, der die Erkennungslogik auslöst
Start-Process cmd.exe -ArgumentList "/c echo 'Simulation der SmartRAT-Aktivität mit $TargetString' > $FakePath" -WindowStyle Hidden

Write-Host "[+] Simulationsbefehl ausgeführt." -ForegroundColor Green

Bereinigungsbefehle:

# Bereinigen Sie die während der Simulation erstellte Dummy-Datei
Remove-Item -Path "C:UsersPublicDocumentsmsedgeupdate.txt" -Force -ErrorAction SilentlyContinue
Write-Host "[+] Bereinigung abgeschlossen." -ForegroundColor Yellow

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten