La campaña ClickFix utiliza señuelos de Amazon para desplegar malware

Resumen

Actores de amenaza están abusando de los resultados patrocinados de búsqueda de Google para “amazon business” para redirigir a los usuarios a una página de inicio de sesión falsa de Amazon. El sitio utiliza una técnica de ingeniería social llamada ClickFix para engañar a las víctimas y ejecutar un comando a través del cuadro de diálogo Ejecutar de Windows. Ese comando abusa del antiguo finger utilidad para descargar e iniciar una cadena de malware de múltiples etapas que involucra Doina, Lumma Stealer y NetSupport RMM.

Investigación

Huntress investigó múltiples incidentes vinculados a una campaña ClickFix temática de Amazon. Los analistas realizaron ingeniería inversa de la cadena de infección e identificaron la finger utilidad siendo abusada como un LOLBIN para recuperar un .plan archivo armado. La investigación rastreó el despliegue de IronPython, el Doina RAT y finalmente Lumma Stealer a través de un cargador basado en Node.js.

Mitigación

La defensa principal es la conciencia del usuario sobre los mensajes CAPTCHA falsos que instruyen a los usuarios a ejecutar comandos en la terminal. Las organizaciones deberían considerar deshabilitar el cuadro de diálogo Ejecutar de Windows para los usuarios que no lo requieran a través de controles de seguridad de endpoints gestionados. La monitorización del tráfico inusual sobre el puerto TCP 79 utilizado por finger y los indicadores de malvertising en registros web también puede apoyar la detección temprana.

Respuesta

Cuando se detecte esta actividad, aísle los endpoints afectados para prevenir una mayor exfiltración de datos o movimiento lateral. Revise y bloquee los dominios de C2 con temática de barbacoa identificados y direcciones IP maliciosas. Realice una búsqueda exhaustiva de software RMM no autorizado, como NetSupport, y de procesos sospechosos de Node.js que se ejecuten desde ubicaciones no estándar, incluyendo C:ProgramData.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: Un adversario ha obtenido acceso inicial y está intentando establecer persistencia y comando y control (C2). Para mezclarse con el tráfico administrativo común y explotar vulnerabilidades conocidas del protocolo, utilizan un script de Python para iniciar una conexión en el Puerto 79 (protocolo Finger). Simultáneamente, intentan usar una instancia de NetSupport Client para transferir herramientas, específicamente apuntando a una IP maliciosa conocida (172.148.201.106) en el puerto 725 para mantener una puerta trasera.

• Script de Prueba de Regresión:

  # Script de simulación para activar regla de detección
  # Requisito: Python debe estar instalado en el objetivo
  
  Write-Host "[+] Iniciando Simulación..."
  
  # 1. Activar Selección Uno: Conexión al Puerto 79
  Write-Host "[+] Activando conexión al Puerto 79 (Finger)..."
  python -c "import socket; s = socket.socket(socket.AF_INET, socket.SOCK_STREAM); s.connect(('127.0.0.1', 79)); s.close()"
  
  # 2. Activar Selección Dos: Conexión a 172.148.201.106 en el Puerto 725
  Write-Host "[+] Activando conexión NetSupport (IP: 172.148.201.106, Puerto: 725)..."
  python -c "import socket; s = socket.socket(socket.AF_INET, socket.SOCK_STREAM); s.connect(('172.148.201.106', 725)); s.close()"
  
  Write-Host "[+] Simulación Completa."

• Comandos de Limpieza:

  # No se crean artefactos persistentes con este script;
  # sin embargo, asegúrese de que cualquier proceso temporal de python sea terminado.
  Stop-Process -Name "python" -ErrorAction SilentlyContinue