ClickFix Rimuove il Tuo Sfondo ma Lascia il Malware

Sommario

Un sito web malevolo che si presenta come un servizio gratuito di rimozione dello sfondo offre un framework malware a più stadi noto come CastleLoader. Una volta eseguito, il loader installa NetSupport RAT insieme a un software di furto personalizzato .NET progettato per estrarre credenziali del browser, dati del portafoglio di criptovalute e informazioni sulla sessione di Telegram. Il malware comunica con la sua infrastruttura di comando e controllo tramite canali criptati che si basano su protocolli personalizzati e crittografia ChaCha20. La campagna utilizza anche molteplici tecniche di elusione, inclusa l’iniezione hollowing del processo, l’iniezione APC e l’abuso di ReplaceTextW, per ridurre la rilevazione e mantenere l’esecuzione.

Indagine

I ricercatori hanno rintracciato l’attacco a un payload iniziale copiato negli appunti della vittima tramite un falso prompt “Non sono un robot”, seguito dall’uso di finger.exe per recuperare un comando da un server remoto. Un’analisi più approfondita ha scoperto una catena di interpreti Python su misura che scaricava ulteriori componenti malware, un loader di shellcode personalizzato protetto con RC4 e un loader PE riflettente che chiamava NtAllocateVirtualMemory direttamente. Gli investigatori hanno scoperto che CastleLoader recuperava compiti criptati dal suo server di comando e controllo, li decriptava in memoria e avviava payload successivi attraverso vari metodi di esecuzione.

Mitigazione

I difensori dovrebbero bloccare l’esecuzione di utility Windows non necessarie come finger.exe and regsvr32.exe, imporre AppLocker o politiche di controllo delle applicazioni comparabili e limitare il traffico in uscita verso domini non attendibili e porte insolite. Le organizzazioni dovrebbero anche considerare di limitare l’accesso alla finestra di dialogo Esegui ove operativamente possibile e monitorare l’uso sospetto di ReplaceTextW e attività insolite degli oggetti COM. Il rafforzamento del browser può aiutare a ridurre l’esposizione al furto di credenziali basato su DPAPI, mentre mantenere aggiornate le estensioni del portafoglio di criptovalute può ridurre il rischio di compromissione del portafoglio.

Risposta

I team di sicurezza dovrebbero cercare CastleLoader rilevando il comando caratteristico degli appunti, monitorando il traffico verso i domini di comando e controllo identificati e cercando le stringhe user-agent personalizzate del malware. Gli investigatori dovrebbero anche esaminare qualsiasi attività pianificata creata sotto %ProgramData% e cercare il valore del mutex associato. Se l’infezione è confermata, isolare l’host interessato, terminare qualsiasi processo NetSupport RAT attivo e rimuovere i file malevoli inseriti in %ProgramData% and %LocalAppData%.

Esecuzione di Simulazione

Prerequisito: Il Check di Telemetria e Baseline Pre-volo deve essere stato superato.

Razionale: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevazione. I comandi e la narrativa DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevazione.

• Narrativa dell’Attacco & Comandi:
  Un avversario che ha già compromesso un account a bassa privilegio vuole utilizzare un binario Windows firmato (finger.exe) per nascondere l’esecuzione di un payload di crittografia personalizzato. Invocano il binario con un argomento creato ad hoc che include la stringa “RC4” (o “AES-CBC”) per indicare il cifrario scelto. Poiché il binario è firmato, Windows AppLocker o altre soluzioni di whitelisting sono meno propense a bloccarlo, e la parola chiave della riga di comando soddisfa la crittografia condizione della regola Sigma.

• Script di Test di Regressione:

  # ------------------------------------------------------------
  # Uso malevolo simulato di finger.exe con crittografia RC4
  # ------------------------------------------------------------
  # Assicurati che finger.exe sia nel PATH o specifica il percorso completo.
  $fingerPath = "$env:SystemRootSystem32finger.exe"
  
  if (-not (Test-Path $fingerPath)) {
      Write-Error "finger.exe non trovato presso $fingerPath"
      exit 1
  }
  
  # Crea una riga di comando che includa la parola chiave RC4
  $maliciousCmd = "$fingerPath -p RC4 -target 10.0.0.5"
  
  Write-Host "Esecuzione del comando malevolo: $maliciousCmd"
  Invoke-Expression $maliciousCmd
  
  # Opzionale: Pausa per consentire l'ingestione SIEM
  Start-Sleep -Seconds 5

• Comandi di Pulizia:

  # Termina eventuali processi finger.exe residui
  Get-Process -Name finger -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "Pulizia completata."