Вариант ClickFix запускает удалённую DLL через rundll32 и WebDAV
Новый вариант ClickFix использует социальную инженерию, чтобы побудить пользователей открыть в Windows окно «Выполнить» сочетанием клавиш Win+R, вставить команду и нажать Enter. Кампанию обнаружили на сайте healthybyhillary[.]com, который имитирует страницу CAPTCHA или проверки. Команда запускает rundll32.exe, чтобы получить удалённо размещённую DLL и выполнить её, а затем цепочка заражения вызывает PowerShell для загрузки и запуска дополнительного содержимого в памяти.
В отличие от предыдущих атак ClickFix, где в основном напрямую запускались PowerShell или mshta, этот вариант использует WebDAV в формате server@port. Встроенный в Windows мини-редиректор WebDAV обращается по HTTP к удалённому ресурсу, в наблюдавшемся случае через порт 80, как к локальному файлу. rundll32.exe запускает экспорт DLL по порядковому номеру #1, а не по имени функции. Такой способ опирается на стандартные компоненты Windows и может обходить средства обнаружения, ориентированные на традиционные интерпретаторы скриптов.
При загрузке содержимого PowerShell использует Invoke-Expression и .NET WebClient.DownloadString. Параметры -NoP и -NonI подавляют загрузку профилей и интерактивный режим. Вторичный загрузчик SkimokKeep выполняет код без записи на диск и динамически разрешает API, обходя блок окружения процесса (Process Environment Block). Кроме того, он меняет записи в таблице адресов импорта (Import Address Table) в памяти: для смены прав доступа к памяти и внесения изменений в эти записи используется VirtualProtect.
SkimokKeep проверяет наличие рабочего стола, сведения о версии операционной системы, кодовую страницу или локаль OEM-системы. На основе этих проверок загрузчик выявляет системы анализа без пользовательского интерфейса, несовместимые конфигурации виртуальных машин и стандартные настройки локали, а также соответствующим образом меняет ход выполнения.
Авторы отчёта рекомендуют строить обнаружение на корреляции подозрительной активности в окне «Выполнить», сетевого доступа через rundll32.exe, соединений WebDAV, запуска DLL по порядковому номеру и последующей активности PowerShell или mshta.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
