ClickFix-цепочка под видом Amazon доставляла Lumma Stealer
Huntress расследовала ClickFix-кампанию с тематикой Amazon. Она начиналась со спонсируемого результата Google по запросу «amazon business»: жертв перенаправляли на поддельную страницу входа в Amazon на Google Sites, где предлагали пройти поддельную проверку CAPTCHA и выполнить команду. Для пользователей macOS кампания предлагала альтернативные инструкции для Terminal, однако обнаруженный при анализе URL нагрузки для macOS был недоступен.
В Windows команда ClickFix запускала встроенную утилиту finger, используя её в рамках техники применения штатных средств системы (Living-off-the-land). Злоумышленник разместил вредоносный скрипт в файле .plan, связанном с удалённой учётной записью. Скрипт применял curl, чтобы скачать с GitHub IronPython 3.4.2, сохранить архив с расширением .pdf во временном каталоге пользователя и распаковать его с помощью утилиты tar для Windows. Входящий в состав интерпретатор ipyw32.exe запускал Python-нагрузку, закодированную в Base64 и сжатую алгоритмом zlib.
Следующий этап выполнял Python-скрипт timer6. Он подменял символы на кириллические, затрудняя декодирование Base64, а затем декодировал и запускал шеллкод, защищённый 19-байтовым ключом XOR. В результате создавался загрузчик Windows PE. Он искал файл .ini с URL для скачивания, получал нагрузку с User-Agent, имитирующим браузер, и расшифровывал её с помощью RC4. Наблюдаемую нагрузку, полученную с grillmasterchef[.]com, предположительно идентифицировали как Doina, модульный загрузчик, троян удалённого доступа и стилер.
Затем Doina скачал ZIP-архив размером 52 МБ с kiriosyka[.]com. В архиве находились портативная среда выполнения Node.js и обфусцированный скрипт index.js. Вредоносная программа для Node.js развернула инъектор отражаемых DLL с использованием sRDI и нагрузку, идентифицированную как Lumma Stealer. Lumma профилировал жертву, передавал сведения об узле и пользователе по HTTPS и поддерживал связь через WebSockets.
Целями атаки стали данные приложений и браузеров. Для управления и эксфильтрации использовались домены с тематикой барбекю, в том числе thegrilljournal[.]com, homelygrill[.]com и perfectgrillrecipes[.]com. При заражении также устанавливался пиратский клиент NetSupport RMM в каталоге C:\ProgramData\Prodclear. Клиент связывался по HTTPS через TCP-порт 725 с адресом 167.148.201[.]106, используя путь /fakeurl.htm.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
