Ewolucja Technik ClickFix: Poza Ataki z Wykorzystaniem Schowka

Podsumowanie

ClickFix to technika socjotechniki, która oszukuje użytkowników, aby uruchomili złośliwe komendy poprzez fałszywe monity weryfikacji przeglądarki. Osoby atakujące wciąż rozwijają tę metodę, aby dostarczać różnorodne ładunki, w tym RAT, loadery i trojany kradnące informacje. Nowsze warianty wprowadzają steganograficzne dostarczanie i łańcuchy wykonawcze inicjowane przez pamięć przeglądarki.

Śledztwo

Huntress zbadał wiele wariantów ClickFix z udziałem złośliwej reklamy, typosquattingu i kampanii zatruwania SEO. Badacze zidentyfikowali łańcuchy ataków wykorzystujące RAT-y oparte na Node.js, takie jak DuskDesk, ładowanie boczne DLL przy użyciu legalnych binariów Microsoftu oraz steganografię PNG do ukrywania ładunków wykonywalnych. Śledztwo ujawniło także aktywność przemieszczania poziomego, skierowaną na kontrolery domen poprzez natywne protokoły Windows.

Łagodzenie

Organizacje powinny szkolić użytkowników, aby nie wklejali komend z webowych stron do terminali lub okien dialogowych Uruchom. Kontrole techniczne powinny obejmować whitelisting aplikacji, blokowanie wykonania z lokalizacji zapisywalnych przez użytkownika, takich jak Temp, i monitorowanie podejrzanych zadań zaplanowanych lub kluczy uruchamiania. Zalecane jest także ograniczenie przywilejów lokalnego administratora.

Reakcja

Gdy wykryta jest aktywność ClickFix, zespoły bezpieczeństwa powinny skupić się na sekwencjach podejrzanych zachowań, a nie tylko polegać na statycznych wskaźnikach IOCs. Należy szukać przeglądarek uruchamiających cmd.exe lub PowerShell, nieoczekiwanych archiwów pojawiających się w katalogach Temp i nowo utworzonych zadań zaplanowanych. Należy badać nieautoryzowane tunele SSH i niezwykłe połączenia sieciowe pochodzące z node.exe.

Wykonanie Symulacji

• Narracja Ataku i Komendy: Przeciwnik wykorzystuje taktykę socjotechniki (ClickFix), gdzie użytkownik jest zwodniczo proszony o „naprawienie” błędu przeglądarki uruchamiając pobrany plik. W tej symulacji imitujemy to, mając użytkownika uruchamiającego .bat plik z folderu, który z kolei uruchamia cmd.exe do wykonania komendy PowerShell. Tworzy to specyficzną telemetrię (cmd.exe uruchamiający PowerShell i wykonanie pliku .bat), którą reguła jest zaprojektowana do wychwytywania.

• Skrypt Testu Regresji:

  # Skrypt Symulacji: Zachowanie w stylu ClickFix
  # 1. Utwórz fikcyjny plik wsadowy, aby imitować pobrany ładunek
  $batchPath = "$env:TEMPupdate_fix.bat"
  "@echo off`npowershell.exe -NoProfile -ExecutionPolicy Bypass -Command `"Write-Host 'Symulowanie dostarczania ładunku...'`"" | Out-File -FilePath $batchPath -Encoding ascii
  
  # 2. Wykonaj plik wsadowy (To inicjuje część 'selection_batch' reguły)
  Write-Host "[!] Wykonywanie symulowanego złośliwego pliku wsadowego..."
  Start-Process "cmd.exe" -ArgumentList "/c $batchPath" -Wait
  
  # 3. Symulowanie PowerShell uruchamianego z explorer (To inicjuje 'selection_powershell')
  # Uwaga: Aby symulować nadzorowanie przez explorer.exe w skrypcie, używamy podejścia z podpowłoką
  Write-Host "[!] Symulowanie uruchamiania PowerShell z kontekstu Explorera..."
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -Command `"Write-Host 'Symulowane PowerShell z Explorera'`""

• Komendy Sprzątające:

  # Sprzątanie: Usuń symulowane złośliwe pliki
  Remove-Item -Path "$env:TEMPupdate_fix.bat" -ErrorAction SilentlyContinue
  Write-Host "[+] Sprzątanie zakończone."