Злоумышленники использовали приманку ClickFix против чешской организации

Кампания была направлена на чешскую организацию. Для приманки ClickFix на чешском языке использовали домен login.microsoftofice.cz, в котором пропущена вторая буква f в слове office. Страница имитировала ИТ-отдел организации и предлагала скопировать команду и вставить её в окно запуска Windows. Домен зарегистрировали в октябре 2025 года.

Загрузка и закрепление

Команда загружала защищённый паролем архив и файл, замаскированный под PNG и переименованный в 7za.exe. Архив Windows_Repair.zip был защищён паролем Lopata. После извлечения цепочка действий создавала в папке Автозагрузка пользователя ярлык Microsoft Aggregator SubHost.lnk.

Домен microsoftofice.cz использовали для приманки и точки проверки, а kupujto.unas.cz размещал полезную нагрузку и средства управления C2. Два упакованных с помощью UPX 32-разрядных исполняемых файла на языке PureBasic извлекали и запускали встроенные пакетные сценарии. Один сценарий регистрировал хост и опрашивал сервер, чтобы получить инструкции. Другой выполнял команды из файла задач и возвращал результаты.

Связь с сервером управления

Бикон использовал HTTP и маскировал передаваемые данные, вставляя через равные промежутки случайное двузначное значение. Задачи можно было адресовать по имени компьютера или пользователя; оператор также мог указать универсальное значение, чтобы назначить задачи всем заражённым хостам.

Сначала бикон проверял прямое сетевое соединение. Если оно отсутствовало, он пытался использовать статические настройки прокси текущего пользователя из реестра Windows. Поддержки PAC, WPAD и аутентификации через прокси не было.

Признаки активности и рекомендация

Среди индикаторов для поиска в отчёте перечислены:

• домены кампании;
• история окна запуска Windows с командой ClickFix;
• выполнение команд и загрузка файлов, инициированные через explorer;
• проверки соединения с www.google.cz с помощью curl.exe;
• повторяющиеся запросы к путям C2, например name.html и comm.html;
• ярлыки в папке Автозагрузка;
• артефакты в каталоге C:\Drivers\FDOR123D и исполняемые файлы со случайными именами в C:\Windows;
• утилиты для работы с архивами, запущенные из пользовательских каталогов с правами на запись.

Авторы отчёта рекомендуют рассматривать подтверждённую инфекцию как потенциально более широкую компрометацию с учётом неидентифицированной второй стадии.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.