Кампании ClickFix побуждают пользователей запускать команды через поддельную капчу

ClickFix использует поддельные страницы CAPTCHA и сообщения с просьбой подтвердить, что пользователь человек, чтобы побудить его вставить и выполнить команды. В качестве полезной нагрузки в таких кампаниях применялись загрузчики, программы-информеры и трояны удалённого доступа. В двух инцидентах файл MSI устанавливал троян DuskDesk на базе Node.js.

Приманки и установка DuskDesk

ClickFix распространялся через вредоносную рекламу, домены с опечатками, отравление поисковой оптимизации, скомпрометированные сайты и облачную инфраструктуру. Некоторые приманки показывали имитацию проверки или индикатор прогресса, пока в фоновом режиме загружались и выполнялись команды для запуска полезной нагрузки. В одной кампании команды менялись в зависимости от браузера, а для запуска следующих этапов использовался файл, ранее сохранённый в кэше браузера.

В двух инцидентах установщик размещал в каталоге AppData пользователя обёртку Node.js и вредоносный JavaScript-файл LimeMint.js. PowerShell собирал сведения о системе. Закрепление обеспечивал пользовательский ключ Run с именем DuskDesk: при входе в систему он запускал node.exe с файлом launch.js. Специалисты зафиксировали, что процесс node.exe устанавливал соединение с IP-адресом 167.148.201.104:3861 по TCP.

Разведка и перемещение по сети

В одном инциденте загрузчик Matanbuchus 3.0 установил AstarionRAT. Его использовали для разведки и кражи учётных данных. Затем с помощью PsExec атакующий переместился на сервер Windows и два контроллера домена. В другой кампании SMBExec и административные общие папки использовались для распространения вредоносного ПО на 11 хостах.

В отдельном инциденте загруженный ZIP-архив распаковали в каталог ProgramData. Пакетный файл создал ключ Run и запланированную задачу для запуска исполняемого файла. Тот запускал PowerShell для разведки в Active Directory. Затем атакующий использовал WinRM для доступа к контроллеру домена, создал учётную запись пользователя, попытался добавить её в группу локальных администраторов и установил обратный SSH-туннель.

Стеганография и признаки обнаружения

В других цепочках доставки PowerShell извлекал PNG-файлы с исполняемыми данными, восстанавливал бинарные файлы из данных пикселей изображений и запускал их. Для закрепления использовались запланированные задачи и ключи Run в реестре.

К поведенческим признакам, которые авторы отчёта считают релевантными для обнаружения, относятся:

• запуск командных оболочек или PowerShell процессами, инициированными браузером или пользователем;
• использование закодированных команд и обходов политики выполнения;
• появление архивов или исполняемых файлов в каталогах, доступных для записи пользователю.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.