Знайомтесь з IClickFix: Широковживана структура для атак на WordPress, що використовує тактику ClickFix

graph TB %% Class Definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef file fill:#cccccc %% Action Nodes action_initial_access[“<b>Дія</b> — <b>T1190 Експлуатація публічно доступного застосунку</b><br/>Компрометація сайтів WordPress шляхом експлуатації вразливостей ядра або популярних плагінів (Elementor, WooCommerce, Gravity Forms).”] class action_initial_access action action_content_injection[“<b>Дія</b> — <b>T1659 Інʼєкція вмісту</b><br/>Впровадження шкідливого JavaScript із тегом <i>icu2011trackeru2011js</i> у скомпрометовані сторінки для завантаження скриптів, контрольованих зловмисником.”] class action_content_injection action action_software_extensions[“<b>Дія</b> — <b>T1176 Програмні розширення</b><br/>Використання вразливих плагінів WordPress як розширень для забезпечення стійкості шкідливого коду на сайті.”] class action_software_extensions action action_dynamic_resolution[“<b>Дія</b> — <b>T1568 Динамічне розвʼязання</b><br/>Застосування скорочувача YOURLS і ланцюга доменів (наприклад, ksfldfklskdmbxcvb.com) для розвʼязання та доставки корисного навантаження з фільтрацією ботів.”] class action_dynamic_resolution action action_obfuscated_payloads[“<b>Дія</b> — <b>T1027 Обфусковані або збережені файли</b><br/>Кодування JavaScript першого етапу та завантажувача PowerShell у Base64 і поділ рядків для обходу виявлення.”] class action_obfuscated_payloads action action_user_execution[“<b>Дія</b> — <b>T1204.001 Виконання користувачем: шкідливе посилання</b><br/>Жертви переходять за скомпрометованим URL WordPress, що запускає ланцюг перенаправлень.”] class action_user_execution action action_input_injection[“<b>Дія</b> — <b>T1674 Інʼєкція введення та T1204.004 Шкідливе копіювання-вставлення</b><br/>JavaScript записує команду PowerShell у буфер обміну та відображає фальшиву CAPTCHA Cloudflare Turnstile.”] class action_input_injection action action_powershell[“<b>Дія</b> — <b>T1059.001 PowerShell</b><br/>Виконується прихована команда PowerShell, яка завантажує скрипт другого етапу <i>tytuy.json</i> та встановлює NetSupport RAT.”] class action_powershell action action_persistence[“<b>Дія</b> — <b>T1547.014 Автозапуск під час завантаження або входу: Active Setup</b><br/>Створення ключа реєстру Run, що вказує на <i>client32.exe</i> у ProgramData\\S1kCMNfZi3, для забезпечення запуску при старті системи.”] class action_persistence action action_c2[“<b>Дія</b> — <b>T1102.002 Вебсервіс: двосторонній звʼязок</b><br/>NetSupport RAT здійснює обмін даними через HTTPS із доменами, контрольованими зловмисником (наприклад, nightlomsknies.com/fakeurl.htm).”] class action_c2 action action_data_obfuscation[“<b>Дія</b> — <b>T1001 Обфускація даних</b><br/>Обфускація трафіку керування та керованих корисних навантажень для приховування шкідливої активності.”] class action_data_obfuscation action %% Tool / Malware / File Nodes tool_wordpress_core[“<b>Інструмент</b> — <b>Назва</b>: Ядро WordPress<br/><b>Вразливість</b>: Віддалене виконання коду”] class tool_wordpress_core tool tool_elementor_plugin[“<b>Інструмент</b> — <b>Назва</b>: Плагін Elementor<br/><b>Вразливість</b>: Віддалене виконання коду, специфічне для CVE”] class tool_elementor_plugin tool tool_yourls[“<b>Інструмент</b> — <b>Назва</b>: Скорочувач YOURLS<br/><b>Призначення</b>: Перенаправлення URL та динамічне розвʼязання”] class tool_yourls tool malware_netsupport[“<b>Шкідливе ПЗ</b> — <b>Назва</b>: NetSupport RAT<br/><b>Можливості</b>: Віддалене керування та ексфільтрація даних”] class malware_netsupport malware file_client32[“<b>Файл</b> — <b>Назва</b>: client32.exe<br/><b>Розташування</b>: ProgramData\\S1kCMNfZi3”] class file_client32 file file_tyuy_json[“<b>Файл</b> — <b>Назва</b>: tytuy.json<br/><b>Призначення</b>: PowerShell-скрипт другого етапу”] class file_tyuy_json file %% Connections action_initial_access –>|експлуатує| tool_wordpress_core tool_wordpress_core –>|забезпечує доступ| action_content_injection action_content_injection –>|впроваджує скрипт через| tool_elementor_plugin action_content_injection –>|призводить до| action_software_extensions action_software_extensions –>|забезпечує стійкість через| tool_elementor_plugin action_software_extensions –>|активує| action_dynamic_resolution action_dynamic_resolution –>|використовує| tool_yourls action_dynamic_resolution –>|доставляє| action_obfuscated_payloads action_obfuscated_payloads –>|створює| action_user_execution action_user_execution –>|ініціює| action_input_injection action_input_injection –>|записує команду в буфер обміну| action_powershell action_powershell –>|завантажує| file_tyuy_json file_tyuy_json –>|встановлює| malware_netsupport malware_netsupport –>|встановлює| action_persistence action_persistence –>|створює| file_client32 file_client32 –>|виконується під час запуску| action_c2 malware_netsupport –>|звʼязується з| action_c2 action_c2 –>|використовує| action_data_obfuscation

Потік атаки