ClickFix-Malware-Kampagne kehrt mit neuen Zustellungstaktiken zurück

Zusammenfassung

Eine neue ClickFix-Kampagne wurde identifiziert, die gefälschte Cloudflare-Verifizierungsseiten verwendet, um sowohl macOS- als auch Windows-Nutzer anzugreifen. Die Kampagne nutzt bösartige Domänen, um täuschende Inhalte zu hosten und Malware zu verbreiten. Die spezifische Malware-Nutzlast konnte während dieser Untersuchung aufgrund von Serverfehlern und Auflösungsfehlern nicht abgerufen werden.

Untersuchung

Der Ermittler analysierte den durch die gefälschten Verifizierungsseiten generierten Datenverkehr und identifizierte eine Kette von URLs, die auf einer bestimmten bösartigen Domain gehostet wurden. Versuche, die Malware für Windows abzurufen, führten zu einem 403 Forbidden-Fehler, während der macOS-spezifische Befehl zu einer Domain führte, die nicht aufgelöst werden konnte. Die Untersuchung konzentrierte sich auf die URL-Muster und die Hosting-Infrastruktur, die für die täuschenden Skripte verwendet wurde.

Minderung

Benutzer sollten geschult werden, gefälschte Verifizierungsseiten zu erkennen und es vermeiden, Befehle auszuführen oder Dateien herunterzuladen, die durch unerwartete Browser-Aufforderungen vorgeschlagen werden. Organisationen sollten Webfilterung implementieren, um bekannte bösartige Domänen, die in dieser Kampagne identifiziert wurden, zu blockieren. Es wird auch empfohlen, ungewöhnlichen Prozessexekutionen nach Web-basierten Interaktionen zu überwachen.

Reaktion

Bei der Erkennung der Kommunikation mit den identifizierten bösartigen Domänen sollte der betroffene Host vom Netzwerk isoliert werden. Führen Sie eine forensische Analyse des Endpunkts durch, um festzustellen, ob irgendwelche Befehle ausgeführt wurden oder ob Malware erfolgreich heruntergeladen wurde. Überprüfen Sie Webproxy-Protokolle, um andere potenziell kompromittierte interne Hosts zu identifizieren, die mit der identifizierten Infrastruktur kommunizieren.

Simulation Ausführung

• Angriffserzählung & Befehle: Der Angreifer hat erfolgreich einen Benutzer dazu bewegt, eine gefälschte „Cloudflare-Verifizierung“-Seite zu besuchen. Beim Laden der Seite führt der Browser automatisch mehrere Anfragen an die von Angreifern kontrollierte Domain js-static.cfd um täuschende visuelle Elemente (Schriften und Logos) und die Kern-Malicious-Logik (embed.js) abzurufen. Diese Simulation verwendet curl um die GET-Anfragen des Browsers für diese spezifischen URLs nachzuahmen, um die proxybasierte Erkennungsregel auszulösen.

• Regressionstestskript:

  #!/bin/bash
  # ClickFix-Kampagnensimulations-Skript
  # Zweck: Generieren von Telemetriedaten, die den Sigma-Regelmuster entsprechen
  
  echo "[*] Start der ClickFix-Simulation..."
  
  # Ziel-Domain: js-static.cfd
  # Simulation verschiedener in der Erkennungsslogik identifizierter URLs
  
  echo "[+] Simulation: Laden des bösartigen Einbettungsskripts..."
  curl -s -o /dev/null "http://js-static.cfd/embed.js?v=24"
  
  echo "[+] Simulation: API-Telemetrie-Treffer..."
  curl -s -o /dev/null "http://js-static.cfd/api/s/hit"
  
  echo "[+] Simulation: Laden gefälschter Cloudflare-Assets (Logo/Schriften)..."
  curl -s -o /dev/null "http://js-static.cfd/static/CF-Logo 1.png"
  curl -s -o /dev/null "http://js-static.cfd/static/fonts/jetbrains-mono-600.woff2"
  
  echo "[+] Simulation: API-Track-Event..."
  curl -s -o /dev/null "http://js-static.cfd/api/track/event"
  
  echo "[*] Simulation abgeschlossen. Überprüfen Sie das SIEM auf Alarme."

• Aufräumbefehle:

  # Keine dauerhaften Änderungen am System vorgenommen. 
  # Wenn Dateien heruntergeladen wurden, entfernen Sie diese.
  rm -f embed.js CF-Logo*.png
  echo "[*] Aufräumen abgeschlossen."