La campagna ClickFix utilizza esche Amazon per distribuire malware

Sommario

Gli attori delle minacce stanno abusando dei risultati di ricerca sponsorizzati di Google per “amazon business” per reindirizzare gli utenti a una pagina di login Amazon falsificata. Il sito utilizza una tecnica di ingegneria sociale chiamata ClickFix per ingannare le vittime facendole eseguire un comando tramite la finestra di dialogo Esegui di Windows. Quel comando sfrutta il vecchio finger utility per scaricare e avviare una catena di malware multi-step coinvolgendo Doina, Lumma Stealer e NetSupport RMM.

Indagine

Huntress ha indagato su molteplici incidenti legati a una campagna ClickFix a tema Amazon. Gli analisti hanno ingegnerizzato al rovescio la catena d’infezione e identificato l’ finger utility abusata come LOLBIN per recuperare un .plan file armato. L’indagine ha tracciato il dispiegamento di IronPython, il Doina RAT e infine Lumma Stealer attraverso un caricatore basato su Node.js.

Mitigazione

La difesa principale è la consapevolezza degli utenti riguardo ai falsi prompt CAPTCHA che istruiscono gli utenti a eseguire comandi del terminale. Le organizzazioni dovrebbero considerare la disabilitazione della finestra di dialogo Esegui di Windows per gli utenti che non ne hanno bisogno tramite controlli di sicurezza degli endpoint gestiti. Il monitoraggio del traffico insolito su TCP porta 79 utilizzato da finger e gli indicatori di malvertising nei registri web possono anche supportare il rilevamento precoce.

Risposta

Quando viene rilevata questa attività, isolare gli endpoint interessati per prevenire ulteriori esfiltrazioni di dati o movimenti laterali. Rivedere e bloccare i domini C2 a tema barbecue identificati e gli indirizzi IP dannosi. Condurre una ricerca approfondita per il software RMM non autorizzato come NetSupport e processi Node.js sospetti che si eseguono da posizioni non standard, incluso C:ProgramData.

Esecuzione di Simulazione

• Narrativa di Attacco & Comandi: Un avversario ha ottenuto accesso iniziale e sta cercando di stabilire persistenza e comando e controllo (C2). Per mescolarsi con il traffico amministrativo comune e sfruttare vulnerabilità di protocollo note, utilizzano uno script Python per avviare una connessione sulla Porta 79 (protocollo Finger). Contemporaneamente, tentano di utilizzare un’istanza di NetSupport Client per trasferire strumenti, mirando specificamente un IP malevolo noto (172.148.201.106) sulla porta 725 per mantenere una backdoor.

• Script di Test di Regressione:

  # Script di simulazione per attivare la regola di rilevamento
  # Requisito: Python deve essere installato sul target
  
  Write-Host "[+] Avvio Simulazione..."
  
  # 1. Attivare Selezione Uno: Connessione alla Porta 79
  Write-Host "[+] Attivazione della connessione Porta 79 (Finger)..."
  python -c "import socket; s = socket.socket(socket.AF_INET, socket.SOCK_STREAM); s.connect(('127.0.0.1', 79)); s.close()"
  
  # 2. Attivare Selezione Due: Connessione a 172.148.201.106 sulla Porta 725
  Write-Host "[+] Attivazione della connessione NetSupport (IP: 172.148.201.106, Porta: 725)..."
  python -c "import socket; s = socket.socket(socket.AF_INET, socket.SOCK_STREAM); s.connect(('172.148.201.106', 725)); s.close()"
  
  Write-Host "[+] Simulazione Completata."

• Comandi di Pulizia:

  # Nessun artefatto persistente creato da questo script; 
  # tuttavia, assicurarsi che tutti i processi Python temporanei siano terminati.
  Stop-Process -Name "python" -ErrorAction SilentlyContinue