Campanha ClickFix Usa Iscas da Amazon para Implantar Malware

Resumo

Atores de ameaça estão abusando dos resultados patrocinados de pesquisa do Google para “amazon business” para redirecionar usuários a uma página falsa de login da Amazon. O site usa uma técnica de engenharia social chamada ClickFix para enganar as vítimas a executar um comando através da caixa de diálogo Executar do Windows. Esse comando abusa do legado finger utilitário para baixar e lançar uma cadeia de malware de múltiplos estágios envolvendo Doina, Lumma Stealer e NetSupport RMM.

Investigação

A Huntress investigou vários incidentes ligados a uma campanha ClickFix temática da Amazon. Os analistas realizaram engenharia reversa na cadeia de infecção e identificaram o finger utilitário que estava sendo abusado como um LOLBIN para recuperar um .plan arquivo perigoso. A investigação rastreou a implantação do IronPython, o Doina RAT, e eventualmente do Lumma Stealer através de um carregador baseado em Node.js.

Mitigação

A principal defesa é a conscientização do usuário em relação a mensagens CAPTCHA falsas que instruem os usuários a executar comandos no terminal. As organizações devem considerar desativar a caixa de diálogo Executar do Windows para usuários que não precisam dela através de controles de segurança de endpoint gerenciados. Monitorar tráfego incomum sobre a porta TCP 79 usada por finger e indicadores de malvertising em registros web também pode ajudar na detecção precoce.

Resposta

Quando essa atividade é detectada, isole os endpoints afetados para evitar mais exfiltração de dados ou movimento lateral. Revise e bloqueie domínios C2 com temas de churrasco identificados e endereços IP maliciosos. Conduza uma busca aprofundada por software RMM não autorizado como NetSupport e processos Node.js suspeitos executando-se de locais não padrão, incluindo C:ProgramData.

Execução de Simulação

• Narrativa de Ataque & Comandos: Um adversário obteve acesso inicial e está tentando estabelecer persistência e comando-e-controle (C2). Para se misturar com tráfego administrativo comum e explorar vulnerabilidades conhecidas de protocolo, eles utilizam um script Python para iniciar uma conexão na Porta 79 (protocolo Finger). Simultaneamente, tentam usar uma instância do Cliente NetSupport para transferir ferramentas, visando especificamente um IP malicioso conhecido (172.148.201.106) na porta 725 para manter uma backdoor.

• Script de Teste de Regressão:

  # Script de simulação para acionar regra de detecção
  # Requisito: Python deve estar instalado no alvo
  
  Write-Host "[+] Iniciando Simulação..."
  
  # 1. Seleção de Acionamento Um: Conexão à Porta 79
  Write-Host "[+] Acionando conexão na Porta 79 (Finger)..."
  python -c "import socket; s = socket.socket(socket.AF_INET, socket.SOCK_STREAM); s.connect(('127.0.0.1', 79)); s.close()"
  
  # 2. Seleção de Acionamento Dois: Conexão ao 172.148.201.106 na Porta 725
  Write-Host "[+] Acionando conexão NetSupport (IP: 172.148.201.106, Porta: 725)..."
  python -c "import socket; s = socket.socket(socket.AF_INET, socket.SOCK_STREAM); s.connect(('172.148.201.106', 725)); s.close()"
  
  Write-Host "[+] Simulação Completa."

• Comandos de Limpeza:

  # Nenhum artefato persistente criado por este script; 
  # no entanto, certifique-se de que quaisquer processos temporários do python sejam terminados.
  Stop-Process -Name "python" -ErrorAction SilentlyContinue