ClickFix 攻击手法超越剪贴板攻击

摘要

ClickFix是一种社会工程技术，通过伪造的浏览器验证提示诱骗用户运行恶意命令。威胁行为者不断演变此方法，以传递广泛的有效负载，包括远程访问木马(RATs)、加载器和信息窃取器。更新的变种结合了隐写术传递和浏览器缓存种子的执行链。

调查

Huntress调查了多种ClickFix变种，这些变种涉及到恶意广告、网络钓鱼以及SEO投毒活动。研究人员识别出使用基于Node.js的RAT，例如DuskDesk，使用合法微软二进制文件进行DLL旁加载，以及使用PNG隐写术来隐藏可执行有效负载的攻击链。调查还揭示了通过本地Windows协议针对域控制器的横向移动活动。

缓解措施

组织应培训用户不要将网页上的命令粘贴到终端或运行对话框中。技术控制应包括应用程序白名单，禁止从用户可写位置（如Temp）执行，并监控可疑的计划任务或运行键。强烈建议限制本地管理员权限。

响应

当检测到ClickFix活动时，安全团队应关注可疑行为序列，而不仅仅依赖于静态IOC。检查浏览器是否生成 cmd.exe 或PowerShell，临时目录中出现意外的归档文件，以及新创建的计划任务。调查未经授权的反向SSH隧道和来自 node.exe.

模拟执行

• 攻击情境与命令： 对手利用社会工程策略（ClickFix），提示用户通过运行下载文件来“修复”浏览器错误。在此模拟中，我们通过让用户启动一个 .bat 文件来模仿这一过程，然后生成 cmd.exe 以执行PowerShell命令。这将创建特定的遥测（cmd.exe生成PowerShell并执行.bat文件），该规则旨在捕捉这一点。

• 回归测试脚本：

  # 模拟脚本：ClickFix风格行为
  # 1. 创建一个假批处理文件以模仿下载的有效负载
  $batchPath = "$env:TEMPupdate_fix.bat"
  "@echo off`npowershell.exe -NoProfile -ExecutionPolicy Bypass -Command `"Write-Host 'Simulating Payload Delivery...'`"" | Out-File -FilePath $batchPath -Encoding ascii
  
  # 2. 执行批处理文件（这将触发规则的'selection_batch'部分）
  Write-Host "[!] 正在执行模拟的恶意批处理文件..."
  Start-Process "cmd.exe" -ArgumentList "/c $batchPath" -Wait
  
  # 3. 模拟从资源管理器生成的PowerShell（这将触发'selection_powershell'）
  # 注意：在脚本中模拟explorer.exe父文件，我们使用子shell方法
  Write-Host "[!] 模拟从资源管理器上下文生成的PowerShell..."
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -Command `"Write-Host 'Simulated PowerShell from Explorer'`""

• 清理命令：

  # 清理：移除模拟的恶意文件
  Remove-Item -Path "$env:TEMPupdate_fix.bat" -ErrorAction SilentlyContinue
  Write-Host "[+] 清理完成。"