La campagna ClickFix generata dall’AI consegna SmartRAT

SOC Prime Team

Segui

La campagna ClickFix generata dall’AI consegna SmartRAT

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Sommario

Gli attori delle minacce stanno utilizzando i costruttori di siti web guidati dall’IA per creare pagine di phishing persuasive che imitano marchi bancari brasiliani. Queste pagine si basano sulla tecnica ClickFix, utilizzando controlli CAPTCHA falsi e messaggi di recupero del sistema per convincere le vittime a eseguire comandi PowerShell dannosi. Il risultato è la consegna di SmartRAT, un trojan bancario basato su PowerShell costruito per l’accesso remoto e il furto di informazioni finanziarie.

Indagine

Zscaler ThreatLabz ha identificato più domini di typosquatting e ha analizzato l’intera catena di infezione, osservando commenti e script di codice generati dall’IA progettati per resistere all’ispezione. L’indagine ha anche esposto una debolezza nel pannello di comando e controllo costruito dall’IA che ha reso possibile il bypass dell’autenticazione tramite localStorage manipolazione. I ricercatori hanno ulteriormente decodificato il protocollo di comunicazione di SmartRAT e documentato il suo uso della crittografia AES-CBC.

Mitigazione

Le organizzazioni dovrebbero implementare il filtraggio web per bloccare i domini di typosquatting e maliziosi noti. Le difese degli endpoint dovrebbero essere configurate per rilevare e limitare l’attività PowerShell sospetta e la creazione non autorizzata di attività pianificate. Gli sforzi di consapevolezza degli utenti dovrebbero anche insegnare ai dipendenti a riconoscere l’ingegneria sociale in stile ClickFix, inclusi falsi schermi blu, messaggi di recupero o prompt CAPTCHA.

Risposta

Se viene rilevata un’attività SmartRAT, isolare immediatamente gli endpoint interessati per interrompere il traffico di comando e controllo e limitare ulteriormente il movimento. Eseguire un’analisi forense per determinare il metodo di persistenza, sia esso basato su servizi o attività pianificate, e cercare artefatti correlati come msedgeupdate.txt. Rivedere i log del proxy web per il traffico verso l’infrastruttura identificata e iniziare la reimpostazione delle credenziali per eventuali utenti interessati.

"graph TB %% Class Definitions Section classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef technique fill:#ccffcc %% Initial Access and Execution Phase action_phishing["Azione – T1566 Phishing Gli attori delle minacce usano domini di typosquatting e siti web generati dall’IA per attirare le vittime."] class action_phishing action action_clickfix["Azione – T1204.004 Esecuzione Utente: Copia e Incolla Malicioso Inganna gli utenti per incollare un comando PowerShell malicioso nella finestra di Esegui di Windows."] class action_clickfix action action_ingress["Azione – T1105 Trasferimento dello Strumento d’Ingresso Scarica un dropper stealthy chiamato st.txt dall’IP remoto 64.95.13.238."] class action_ingress action tool_dropper["Strumento – Nome: st.txt Descrizione: Dropper stealthy usato per facilitare la consegna del malware principale."] class tool_dropper tool %% Malware Execution and Persistence Phase malware_smartrat["Malware – Nome: SmartRAT Descrizione: RAT principale usato per sorveglianza e furto di dati finanziari."] class malware_smartrat malware action_user_exec_file["Azione – T1204.002 Esecuzione Utente: File Malicioso Esegue il malware principale SmartRAT."] class action_user_exec_file action action_gather_info["Azione – T1592.001/002 Raccogliere Informazioni sull’Host della Vittima Raccoglie dettagli hardware, software e del sistema operativo per generare un token di identità unico."] class action_gather_info action action_persistence_service["Azione – T1543.003 Creare o Modificare Processo di Sistema: Servizio Windows Crea un servizio Windows chiamato MicrosoftEdgeUpdateCore per la persistenza."] class action_persistence_service action action_persistence_registry["Azione – Persistenza tramite Chiavi di Esecuzione Registro di Sistema Usa chiavi di esecuzione del registro per mantenere l’accesso."] class action_persistence_registry action action_priv_esc["Azione – T1548 Escalation dei Privilegi Richiede l’elevazione UAC per eseguire il servizio con privilegi SYSTEM."] class action_priv_esc action %% Command and Control and Exfiltration Phase action_c2["Azione – T1071 Comando e Controllo Utilizza socket TCP grezzi su una porta non standard 51888 per la comunicazione."] class action_c2 action action_exfiltrate["Azione – T1041 Esfiltrazione sul Canale C2 Ruba dati finanziari attraverso la connessione C2 stabilita."] class action_exfiltrate action %% Post-Exploitation and Evasion Phase action_video_capture["Azione – T1125 Acquisizione Video Esegue lo streaming dello schermo per la sorveglianza."] class action_video_capture action action_input_tracking["Azione – T1056 Tracciamento dell’Input Usa keylogging per monitorare gli input dell’utente."] class action_input_tracking action action_mfa_interception["Azione – T1111 Intercettazione dell’Autenticazione Multi-Fattore Utilizza sovrapposizioni false marchiate per rubare token MFA."] class action_mfa_interception action action_masquerading["Azione – T1036 Camuffamento Usa nomi di file esca come msedge.txt per evitare il rilevamento."] class action_masquerading action action_file_deletion["Azione – T1070.004 Rimozione Indicatori: Eliminazione di File Usa un comando di disinstallazione per ridurre l’impronta forense."] class action_file_deletion action %% Connection Flow action_phishing –>|porta_a| action_clickfix action_clickfix –>|porta_a| action_ingress action_ingress –>|scarica| tool_dropper tool_dropper –>|esegue| action_user_exec_file action_user_exec_file –>|avvia| malware_smartrat malware_smartrat –>|svolge| action_gather_info malware_smartrat –>|stabilisce| action_persistence_service malware_smartrat –>|stabilisce| action_persistence_registry malware_smartrat –>|tenta| action_priv_esc action_priv_esc –>|abilita| action_c2 action_c2 –>|usato_per| action_exfiltrate action_c2 –>|usato_per| action_video_capture action_c2 –>|usato_per| action_input_tracking action_c2 –>|usato_per| action_mfa_interception malware_smartrat –>|usa| action_masquerading malware_smartrat –>|svolge| action_file_deletion "

Flusso d’Attacco

Visualizza

## Esecuzione della Simulazione

Prerequisito: Il Controllo di Pre-Flight di Telemetria e Base dovrebbe essere stato superato.

Motivo: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta attesa dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

Narrazione e Comandi di Attacco: L’avversario ha ottenuto con successo l’accesso iniziale tramite una campagna di phishing (T1566) e sta ora tentando di stabilire la persistenza. Per integrarsi con l’attività legittima del sistema, l’attaccante utilizza un approccio “Living-off-the-Land”, eseguendo un comando malicioso che si maschera come un processo di aggiornamento di Microsoft Edge (T1036). L’attaccante esegue un’istruzione da riga di comando contenente la stringa msedgeupdate.txt per attivare un meccanismo simulato di persistenza, che in uno scenario reale comporterebbe la creazione di un’attività pianificata o di un servizio.

Script di Test di Regressione:

# Script di Simulazione della Persistenza di SmartRAT
# Questo script genera la telemetria specifica della riga di comando richiesta per attivare la regola di rilevamento.

$TargetString = "msedgeupdate.txt"
$FakePath = "C:UsersPublicDocuments$TargetString"

# Crea un file falso per rendere la riga di comando più realistica
New-Item -Path $FakePath -ItemType File -Force | Out-Null

Write-Host "[+] Simulazione di persistenza di SmartRAT tramite riga di comando: $TargetString" -ForegroundColor Cyan

# Esegui il comando che attiva la logica di rilevamento
Start-Process cmd.exe -ArgumentList "/c echo 'Simulazione di attività SmartRAT con $TargetString' > $FakePath" -WindowStyle Hidden

Write-Host "[+] Comando di simulazione eseguito." -ForegroundColor Green

Comandi di Pulizia:

# Rimuovi il file falso creato durante la simulazione
Remove-Item -Path "C:UsersPublicDocumentsmsedgeupdate.txt" -Force -ErrorAction SilentlyContinue
Write-Host "[+] Pulizia completata." -ForegroundColor Yellow

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis