Кампанія ClickFix використовує заманювання Amazon для розгортання шкідливого програмного забезпечення

Резюме

Зловмисники зловживають результатами спонсорованого пошуку Google за запитом “amazon business”, щоб перенаправляти користувачів на підроблену сторінку входу Amazon. Сайт використовує техніку соціальної інженерії ClickFix, щоб обманом змусити жертв виконати команду через діалогове вікно Windows Run. Ця команда зловживає спадщиною команди для завантаження та запуску багатоступеневого ланцюга зловмисного програмного забезпечення, що включає Doina, Lumma Stealer і NetSupport RMM.

Розслідування

Huntress розслідувала кілька інцидентів, пов’язаних з кампанією ClickFix на тему Amazon. Аналітики здійснили реверс інженеринг ланцюга інфікування та ідентифікували команди інструмент, що зловживається як LOLBIN для отримання запрограмованого файлу .plan Файл. Розслідування простежило використання IronPython, Doina RAT та врешті Lumma Stealer через завантажувач на основі Node.js.

Мітигація

Основний захист – це обізнаність користувачів щодо підроблених запитів каптч, які вимагають виконання команд у терміналі. Організації варто розглянути можливість відключення діалогу Windows Run для користувачів, які його не потребують, через керовані засоби захисту кінцевих точок. Моніторинг незвичного трафіку через TCP порт 79, що використовується команди та маркерами зловмисної реклами у веб-логах може також підтримувати раннє виявлення.

Реакція

При виявленні цієї активності ізолюйте постраждалі кінцеві точки, щоб запобігти подальшій ексфільтрації даних або латеральному переміщенню. Перегляньте та блокуйте виявлені C2 домени на тему барбекю та зловмисні IP-адреси. Проведіть ретельний пошук несанкціонованого програмного забезпечення RMM, такого як NetSupport, і підозрілих процесів Node.js, що виконуються з нестандартних місць, включаючи C:ProgramData.

Виконання симуляції

• Оповідь атаки та команди: Противник отримав початковий доступ і намагається встановити постійну присутність та командно-контроль (C2). Щоб злитися з загальним адміністративним трафіком та використати відомі уразливості протоколу, вони використовують сценарій Python для ініціалізації з’єднання на Порту 79 (протокол Finger). Одночасно вони намагаються використовувати екземпляр клієнта NetSupport для передачі інструментів, спеціально націлюючись на відомий зловмисний IP (172.148.201.106) на порту 725, щоб підтримувати бекдор.

• Скрипт регресійного тестування:

  # Скрипт симуляції для виклику правила виявлення
  # Вимога: Python повинен бути встановлений на цільовому пристрої
  
  Write-Host "[+] Початок симуляції..."
  
  # 1. Запуск селекції 1: З'єднання до Порту 79
  Write-Host "[+] Активізація з'єднання Порту 79 (Finger)..."
  python -c "import socket; s = socket.socket(socket.AF_INET, socket.SOCK_STREAM); s.connect(('127.0.0.1', 79)); s.close()"
  
  # 2. Запуск селекції 2: З'єднання до 172.148.201.106 на Порту 725
  Write-Host "[+] Активізація з'єднання NetSupport (IP: 172.148.201.106, Порт: 725)..."
  python -c "import socket; s = socket.socket(socket.AF_INET, socket.SOCK_STREAM); s.connect(('172.148.201.106', 725)); s.close()"
  
  Write-Host "[+] Симуляцію завершено."

• Команди очищення:

  # Жодних стійких артефактів, створених цим скриптом; 
  # однак, переконайтеся, що всі тимчасові процеси python завершено.
  Stop-Process -Name "python" -ErrorAction SilentlyContinue