ClickFix: распространённая методика первоначального доступа через манипуляцию поведением пользователей

Технология ClickFix стала заметным инструментом у злоумышленников: она использует поведение пользователей для обхода средств защиты и работает на нескольких платформах. Отчет описывает методику заражения, её варианты и рекомендации по обнаружению — важную информацию для ИТ-специалистов, служб кибербезопасности и пользователей.

«ClickFix использует поведение человека для обхода средств защиты и работы на нескольких платформах»

Как это работает: цепочка заражения

Анализ методологии ClickFix начинается с телеметрии процессов. Типичная цепочка заражения выглядит так:

• Заражение обычно инициируется через explorer.exe, который через окно запуска Windows выполняет код;
• От него порождается дочерний процесс conhost.exe, используемый в качестве прокси для запуска cmd.exe;
• Далее запускается curl.exe для загрузки и исполнения дополнительной полезной нагрузки;
• В качестве триггера выступает злоумышленно созданный веб-сайт, который перехватывает функциональность буфера обмена пользователя и иногда дополняется поддельными вставками Cloudflare для маскировки фишинга и повышения вовлеченности.

Ключевой элемент — манипуляция пользователем: злоумышленники заставляют открыть проводник Windows или выполнить другие действия, побуждая пользователя неосознанно инициировать выполнение вредоносного кода.

Варианты метода: FileFix и TerminalFix

От базового ClickFix происходят несколько схожих вариантов, отличающихся способом убеждения пользователя и используемыми инструментами:

• FileFix — более простая схема: chrome.exe вызывает команду PowerShell, которая запрашивает файл через туннель Cloudflare и выполняет его немедленно;
• TerminalFix — оптимизированная версия, работающая с одним процессом PowerShell, использующим ввод пользователя для выполнения команд; эта схема генерирует минимальную телеметрию, но возможны вариации в зависимости от конкретных команд злоумышленника.

Что нужно злоумышленнику для успеха

Для эффективности всех описанных методов необходимы три условия:

• наличие вредоносного или скомпрометированного веб-сайта;
• взаимодействие с пользователем, подтверждающее, что действие выполняет человек;
• выполнение пользователем предоставленного кода или команд.

Вариации в основном различаются тем, как именно злоумышленники убеждают пользователя выполнить требуемые действия — через поддельные подсказки, подмену вставок буфера обмена, ложные уведомления и т. п.

Рекомендации по обнаружению и защите

Стратегии обнаружения должны фокусироваться на ранних этапах атаки и на сигнатурах поведения вредоносных полезных нагрузок. Практические меры включают:

• Мониторинг процессов, запускаемых из explorer.exe и веб-браузеров (chrome.exe и т. п.), особенно неожиданных дочерних процессов (conhost.exe, cmd.exe, PowerShell, curl.exe).
• Контроль исходящих сетевых подключений и проверка загрузок вторичных полезных нагрузок, размещённых удалённо (включая туннели через Cloudflare).
• Обнаружение вызовов интерпретаторов сценариев, которые используются для выполнения загруженного кода (PowerShell, cmd-скрипты и пр.).
• Повышение осведомлённости пользователей: обучение не выполнять команды по подозрительным подсказкам и сообщать в ИТ/безопасность при сомнениях.

Вывод

ClickFix и его варианты — пример того, как злоумышленники комбинируют социальную инженерию и технические механизмы для достижения первоначального доступа. Главная уязвимость здесь — человеческий фактор: подделка интерфейсов, перехват буфера обмена и провокация пользователей на запуск команд. Оборона должна сочетать технический мониторинг процессов и сетевой активности с регулярным обучением пользователей и оперативным реагированием ИТ-служб.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.