Microsoft Threat Intelligence: Atakujący ClickFix wykorzystują inteligentne kontrakty blockchain do omijania środków usuwających

Zespół Microsoft Threat Intelligence opublikował wyniki śledztwa dotyczącego stale ewoluujących ataków ClickFix, które obecnie masowo wykorzystują infrastrukturę blockchain i zaawansowaną technologię rozpoznawania odcisków palców przeglądarki do infiltracji systemów Windows i macOS.

Ataki wymierzone w systemy Windows wykorzystują technikę EtherHiding, która przechowuje złośliwe komendy bezpośrednio w inteligentnych kontraktach na BNB Smart Chain. Atakujący wstrzykują zakodowany w Base64 kod JavaScript na zainfekowane strony internetowe, które pobierają instrukcje następnego etapu poprzez zapytania do tych kontraktów przez bramki RPC. 

Ponieważ ładunek znajduje się on-chain, nie można go usunąć za pomocą tradycyjnych metod wyłączenia lub blackholingu – tylko właściciel portfela kryptowalutowego, który wdrożył ten ładunek, może zmienić jego zawartość. 

Ofiary widzą podrobiony kod CAPTCHA, który nakłania ich do otwarcia okna dialogowego Uruchom w systemie Windows i wklejenia polecenia dostarczonego przez atakującego. Łańcuch wykonania nadużywa natywnych narzędzi, takich jak PowerShell, mshta, rundll32, msiexec i curl, często wykorzystując techniki takie jak dzielenie na wstawki i zaciemnianie zmiennych środowiskowych, aby uniknąć wykrycia. Microsoft informuje, że te ataki codziennie celują w tysiące urządzeń firmowych i konsumenckich na całym świecie, rozprzestrzeniając takie złośliwe oprogramowanie jak Lumma Stealer, Xworm, AsyncRAT i MintsLoader. 

Jedno udane zainfekowanie może prowadzić do ujawnienia poświadczeń, ustanowienia trwałego dostępu, umożliwienia ruchu bocznego i otwarcia drogi dla ransomware obsługiwanego przez ludzi.

macOS: Wdrażanie mechanizmów fingerprintingu antyanalitycznego

Jednocześnie Microsoft śledzi klaster ClickFix atakujący macOS, który przeszedł od publicznego udostępniania złośliwych poleceń terminala do ukrywania ich za serwerowym mechanizmem rozpoznawania odcisków palców przeglądarki. Ta aktywność atakująca obejmuje ponad 250 domen, z których wiele stosuje schemat nazewnictwa oparty na algorytmie „filewordword”. Po wejściu na taką domenę, lekki program analizujący w JavaScript zbiera dane przeglądarki, sygnały WebGL GPU, przesunięcie strefy czasowej oraz kontekst iframe, po czym ten zestaw odcisków jest przesyłany do serwera do oceny. 

Żądania, które nie przejdą tych testów (np. pochodzące z sandboxów, maszyn wirtualnych lub przeglądarek innych niż macOS), otrzymują nieszkodliwą stronę zawierającą przynętę lub pustą treść, podczas gdy prawdziwi użytkownicy macOS widzą podrobioną stronę pobierania „Zweryfikowany wydawca” z dołączonym złośliwym poleceniem terminala. Ten system dystrybucji ruchu rozprzestrzenia programy wykradające dane, takie jak MacSync i Atomic Stealer, które mają na celu kradzież danych z pęku kluczy, poświadczeń przeglądarki, portfeli kryptowalutowych i kluczy SSH. 

Technika rozpoznawania odcisków palców sama w sobie nie jest nowa, ale jej integracja z infrastrukturą ClickFix komplikuje automatyczne wykrywanie i analizę, ponieważ złośliwa zawartość jest udostępniana wyłącznie starannie wybranym ofiarom.