ClickFix Remove o Seu Fundo, mas Deixa o Malware

Ruslan Mikhalov Chefe de Pesquisa de Ameaças na SOC Prime

Seguir

ClickFix Remove o Seu Fundo, mas Deixa o Malware

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Um site malicioso que se apresenta como um serviço gratuito de remoção de fundo entrega uma estrutura de malware em várias etapas conhecida como CastleLoader. Uma vez executado, o carregador instala o NetSupport RAT juntamente com um stealer personalizado em .NET projetado para extrair credenciais de navegadores, dados de carteiras de criptomoedas e informações de sessão do Telegram. O malware se comunica com sua infraestrutura de comando e controle através de canais criptografados que dependem de protocolos personalizados e da criptografia ChaCha20. A campanha também emprega múltiplas técnicas de evasão, incluindo oco de processo, injeção APC e abuso de ReplaceTextW, para reduzir a detecção e manter a execução.

Investigação

Pesquisadores rastrearam o ataque até um payload inicial copiado para a área de transferência da vítima através de um falso aviso “Não sou um robô”, seguido pelo uso de finger.exe para recuperar um comando de um servidor remoto. Análises aprofundadas descobriram uma cadeia de trazer seu próprio interpretador baseada em Python que baixou componentes adicionais de malware, um carregador de shellcode personalizado protegido com RC4, e um carregador PE reflexivo que chamava NtAllocateVirtualMemory diretamente. Os investigadores descobriram que o CastleLoader buscava tarefas criptografadas de seu servidor de comando e controle, as descriptografava na memória, e lançava payloads subsequentes através de diferentes métodos de execução.

Mitigação

Os defensores devem bloquear a execução de utilitários Windows desnecessários, como finger.exe and regsvr32.exe, impor políticas de controle de aplicativos como AppLocker ou similares e restringir o tráfego de saída para domínios não confiáveis e portas incomuns. As organizações também devem considerar limitar o acesso à caixa de diálogo Executar onde operacionalmente possível e monitorar o uso suspeito de ReplaceTextW e atividade incomum de objetos COM. O fortalecimento do navegador pode ajudar a reduzir a exposição ao roubo de credenciais baseado em DPAPI, enquanto manter as extensões de carteiras de criptomoedas atualizadas pode diminuir o risco de comprometimento da carteira.

Resposta

As equipes de segurança devem buscar o CastleLoader detectando o comando característico da área de transferência, monitorando o tráfego para os domínios de comando e controle identificados e procurando pelas strings de agente de usuário personalizadas do malware. Os investigadores também devem revisar quaisquer tarefas programadas criadas em %ProgramData% e procurar pelo valor do mutex associado. Se a infecção for confirmada, isole o host afetado, termine quaisquer processos ativos do NetSupport RAT, e remova arquivos maliciosos depositados em %ProgramData% and %LocalAppData%.

"graph TB %% Class Definitions classDef technique fill:#ffcc99 classDef operator fill:#ff9900 %% Node Definitions tech_content_injection["Technique – T1659 Injeção de Conteúdo Descrição: O adversário injeta conteúdo malicioso em arquivos legítimos ou fluxos de dados para entregar cargas úteis."] class tech_content_injection technique tech_user_exec_link["Técnica – T1204.001 Execução de Usuário: Link Malicioso Descrição: A vítima é enganada a clicar em um link malicioso que lança código malicioso."] class tech_user_exec_link technique tech_user_exec_copypaste["Técnica – T1204.004 Execução de Usuário: Copiar e Colar Malicioso Descrição: A vítima copia e cola código malicioso ou comandos em um aplicativo confiável."] class tech_user_exec_copypaste technique tech_obfuscation["Técnica – T1027 Arquivos ou Informações Ofuscadas Descrição: O malware é escondido usando técnicas de ofuscação para evadir a detecção."] class tech_obfuscation technique tech_deobfuscate["Técnica – T1140 Desofuscar/Decodificar Arquivos ou Informações Descrição: O código malicioso é decodificado ou desofuscado para revelar sua funcionalidade real."] class tech_deobfuscate technique tech_encrypted_channel["Técnica – T1573 Canal Criptografado Descrição: A comunicação é criptografada para proteger dados em trânsito da análise."] class tech_encrypted_channel technique tech_process_injection_apc["Técnica – T1055.009 Injeção de Processo (APC) Descrição: O código é injetado em um processo alvo usando Chamadas de Procedimento Assíncrono."] class tech_process_injection_apc technique tech_process_hollowing["Técnica – T1055.012 Injeção de Processo (Process Hollowing) Descrição: Um processo legítimo é criado e sua memória é substituída por código malicioso."] class tech_process_hollowing technique tech_reflective_loading["Técnica – T1620 Carregamento de Código Reflexivo Descrição: O código malicioso é carregado diretamente na memória sem tocar no disco."] class tech_reflective_loading technique tech_screen_capture["Técnica – T1113 Captura de Tela Descrição: Captura capturas de tela do desktop da vítima para reconhecimento."] class tech_screen_capture technique tech_regsvr32["Técnica – T1218.010 Execução de Proxy Regsvr32 Descrição: Usa regsvr32 para executar código malicioso através de uma DLL proxy."] class tech_regsvr32 technique tech_masquerading["Técnica – T1036.011 Mascaramento (cópia conhost) Descrição: O binário malicioso é renomeado ou copiado para se assemelhar ao conhost.exe para evitar suspeitas."] class tech_masquerading technique tech_relocate_malware["Técnica – T1070.010 Reubicar Malware (nomes de arquivos aleatórios) Descrição: Arquivos de malware são movidos e renomeados com nomes aleatórios para dificultar a descoberta."] class tech_relocate_malware technique tech_credential_theft["Técnica – T1552.004 Roubo de Credenciais (DPAPI/AES) Descrição: Extrai credenciais protegidas por DPAPI ou criptografia AES."] class tech_credential_theft technique tech_keylogging["Técnica – T1056.001 Keylogging Descrição: Captura as teclas digitadas pelo usuário para colher informações sensíveis."] class tech_keylogging technique %% Connections tech_content_injection –>|leads_to| tech_user_exec_link tech_user_exec_link –>|leads_to| tech_user_exec_copypaste tech_user_exec_copypaste –>|leads_to| tech_obfuscation tech_obfuscation –>|leads_to| tech_deobfuscate tech_deobfuscate –>|leads_to| tech_encrypted_channel tech_encrypted_channel –>|leads_to| tech_process_injection_apc tech_process_injection_apc –>|leads_to| tech_process_hollowing tech_process_hollowing –>|leads_to| tech_reflective_loading tech_reflective_loading –>|leads_to| tech_screen_capture tech_screen_capture –>|leads_to| tech_regsvr32 tech_regsvr32 –>|leads_to| tech_masquerading tech_masquerading –>|leads_to| tech_relocate_malware tech_relocate_malware –>|leads_to| tech_credential_theft tech_credential_theft –>|leads_to| tech_keylogging "

Fluxo de Ataque

Narrativa do Ataque & Comandos:
Um adversário que já comprometeu uma conta de baixo privilégio deseja usar um binário assinado do Windows (finger.exe) para ocultar a execução de uma carga útil de criptografia personalizada. Eles invocam o binário com um argumento elaborado que inclui a string “RC4” (ou “AES‑CBC”) para indicar o cifrador escolhido. Como o binário é assinado, o Windows AppLocker ou outras soluções de lista branca são menos propensos a bloqueá-lo, e a palavra-chave de linha de comando satisfaz a encryption condição da regra Sigma.

Script de Teste de Regressão:

# ------------------------------------------------------------
# Uso malicioso simulado do finger.exe com criptografia RC4
# ------------------------------------------------------------
# Certifique-se de que finger.exe está no PATH ou especifique caminho completo.
$fingerPath = "$env:SystemRootSystem32finger.exe"

if (-not (Test-Path $fingerPath)) {
    Write-Error "finger.exe não encontrado em $fingerPath"
    exit 1
}

# Crie uma linha de comando que inclua a palavra-chave RC4
$maliciousCmd = "$fingerPath -p RC4 -target 10.0.0.5"

Write-Host "Executando comando malicioso: $maliciousCmd"
Invoke-Expression $maliciousCmd

# Opcional: Adormecer para permitir a ingestão SIEM
Start-Sleep -Seconds 5

Comandos de Limpeza:

# Termine quaisquer processos remanescentes de finger.exe
Get-Process -Name finger -ErrorAction SilentlyContinue | Stop-Process -Force

Write-Host "Limpeza completa."

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente