Кампании ClickFix побуждают запускать команды через поддельные капчи

Пять изученных кампаний ClickFix использовали поддельные страницы CAPTCHA или проверки, чтобы побудить жертв скопировать команду в окно «Выполнить» Windows либо в терминал. Команда могла скрываться в безобидном на вид тексте или загружаться динамически, позволяя операторам менять полезную нагрузку без замены приманки. Кампании приводили к разным результатам: доставке троянов удалённого доступа (RAT), запуску безвредного калькулятора или цепочке, сервер следующего этапа которой оказался недоступен.

Посетителей поддельной страницы DMarket атаковал обфусцированный загрузчик PowerShell. Он пытался повысить привилегии, использовал подписанную Google утилиту, чтобы добавить весь диск C: в исключения Microsoft Defender, и скачивал защищённый паролем архив с MSI-файлом. Тот устанавливал 32-битный и 64-битный загрузчики на Go. Они расшифровывали и выполняли .NET-нагрузку в памяти. Вредоносное ПО обменивалось данными по TLS с 95.85.238.53:56001 и использовало имя GoogleCrashHandler.exe для закрепления, маскируясь под системный компонент. Образец CrashHandler RAT демонстрировал поведение, характерное для RAT; его связь с AsyncRAT не подтверждена.

Кампания с типосквоттингом под Microsoft была нацелена на Чехию и доставляла RAT на пакетном языке. Он обеспечивал закрепление, собирал отпечатки хостов, принимал адресные и широковещательные команды, а также передавал результаты их выполнения. Строку «- OKOKOK -» исследователи определили как полезный индикатор исходящих POST-запросов.

Другая кампания доставила неподписанный .NET-RAT, замаскированный под MsMpEng.exe. Он использовал записи клиентов Stripe и метаданные для получения команд и отправки результатов, в том числе скриншотов и файлов, по зашифрованному трафику на api.stripe.com.

В одной из обнаруженных цепочек скрипт PowerShell извлекал домен с полезной нагрузкой из описания страницы в Telegram, а затем загружал файл /download/install. Страница, использовавшая Telegram как канал передачи данных, на момент проверки уже была недоступна. Отдельная активная цепочка доставки запускала приложение «Калькулятор». Управляемую оператором инфраструктуру потенциально могли использовать повторно.

Авторы отчёта рекомендуют отслеживать:

• неожиданное добавление исключений в Microsoft Defender;
• подозрительные командные оболочки, запущенные через браузер или Проводник;
• необычную активность API Stripe.

Ни один легитимный веб-сайт не требует от пользователей вставлять команды в окно «Выполнить».

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.