Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
DOUBLECUP to nowo opisana usługa typu loader-as-a-service, która automatyzuje dostarczanie złośliwego oprogramowania z wykorzystaniem kampanii ClickFix. W tym modelu ataku przestępcy ukrywają pierwszy etap infekcji w obrazach PNG pobieranych przez przeglądarkę ofiary i zapisanych w pamięci podręcznej.
Kluczowym elementem operacji jest socjotechnika. Użytkownik otrzymuje fałszywy komunikat o konieczności wykonania „weryfikacji” lub rozwiązania CAPTCHA, a następnie zostaje nakłoniony do uruchomienia polecenia skopiowanego do schowka. To właśnie ten krok uruchamia właściwy łańcuch infekcji.
W skrócie
- DOUBLECUP działa jako usługa dla cyberprzestępców i automatyzuje kampanie ClickFix.
- Pierwszy payload jest ukrywany steganograficznie w obrazach PNG trafiających do cache przeglądarki.
- Ofiara samodzielnie uruchamia polecenie, które wydobywa ukryty kod z pamięci podręcznej przeglądarki.
- W obserwowanych kampaniach końcowymi ładunkami były CountLoader dla Windows i macOS oraz RAT DeviceManager dla Windows.
- Mechanizm utrudnia detekcję, ponieważ ogranicza klasyczne artefakty plikowe i wykorzystuje legalne narzędzia systemowe.
Kontekst / historia
ClickFix to technika ataku oparta na wymuszeniu działania użytkownika. Zamiast klasycznego exploita lub bezpośredniego droppera, atakujący przedstawiają ofierze instrukcję ręcznego uruchomienia komendy w systemie. Dzięki temu część zabezpieczeń może nie rozpoznać incydentu jako standardowego pobrania i uruchomienia malware.
DOUBLECUP rozwija ten model o dodatkowe warstwy ukrywania i automatyzacji. Zgodnie z opisem kampanii platforma była obserwowana od początku czerwca 2026 roku i oferowała klientom gotowe zaplecze techniczne, w tym frontend do osadzenia na stronach, endpointy sesyjne oraz mechanizmy odbudowy i deszyfrowania ładunków. Taki model wpisuje się w szerszy trend uprzemysłowienia cyberprzestępczości, w którym operatorzy o niższych kompetencjach mogą korzystać z gotowej infrastruktury dostarczania malware.
Analiza techniczna
Łańcuch infekcji rozpoczyna się na stronie internetowej zawierającej osadzony kod DOUBLECUP, często ładowany przez iframe. Po wejściu użytkownika na stronę skrypt pobiera konfigurację kampanii, rejestruje sesję oraz ustala publiczny adres IP ofiary. Następnie wymusza pobranie obrazu PNG zawierającego ukryty pierwszy etap ataku.
Istotne jest to, że obraz zostaje zapisany w cache przeglądarki, a nie jako oczywisty plik wykonywalny. To zmniejsza widoczność zagrożenia i utrudnia analizę opartą na standardowych ścieżkach pobierania plików.
Kolejnym etapem jest prezentacja fałszywego komunikatu przypominającego CAPTCHA lub instrukcję naprawczą. Strona dopasowuje komendę do używanej przeglądarki, kopiuje ją do schowka i nakłania użytkownika do jej uruchomienia. Polecenie przeszukuje lokalny cache, identyfikuje właściwy plik PNG po określonych cechach, a następnie wykorzystuje narzędzia systemowe, takie jak certutil czy findstr, do wydobycia ukrytego payloadu.
Po uruchomieniu pierwszy etap aktywuje bezplikowy dropper drugiego poziomu. Ten komponent pobiera publiczny adres IPv4 ofiary i używa go do zbudowania klucza deszyfrującego końcowy ładunek. Przed wykonaniem malware sprawdza integralność danych z użyciem zakodowanego skrótu SHA-256, co utrudnia analizę oraz redukuje ryzyko błędów po stronie operatora. Dopiero po pomyślnej walidacji kod jest uruchamiany w pamięci.
W analizowanych kampaniach wykorzystywano dwa główne typy złośliwego oprogramowania:
- CountLoader dla Windows i macOS, który zbiera informacje o systemie, sprawdza obecność portfeli kryptowalutowych, rozszerzeń przeglądarkowych oraz aplikacji Signal Desktop, a także wdraża mechanizmy trwałości.
- DeviceManager, czyli modularny trojan RAT napisany w Pythonie dla Windows, który korzystał z mechanizmu EtherHiding do pobierania aktualnego adresu serwera C2 ze smart kontraktów Ethereum lub Polygon.
Na macOS trwałość miała być realizowana przez LaunchAgent, natomiast DeviceManager dodatkowo wykorzystywał rekordy DNS typu A i TXT do wymiany danych, pobierania poleceń i eksfiltracji wyników. Taki model komunikacji podnosi odporność operacji na proste blokady domenowe i utrudnia identyfikację ruchu sterującego.
Konsekwencje / ryzyko
Połączenie socjotechniki, steganografii, pamięci podręcznej przeglądarki i legalnych narzędzi systemowych sprawia, że DOUBLECUP stanowi szczególnie wymagające zagrożenie dla zespołów obronnych. Tradycyjne mechanizmy bezpieczeństwa często koncentrują się na plikach pobieranych bezpośrednio na dysk lub na znanych schematach dropperów, podczas gdy tutaj kluczowe elementy infekcji są rozproszone między cache przeglądarki, schowkiem i pamięcią operacyjną.
Dla organizacji oznacza to ryzyko przejęcia stacji roboczych, rozpoznania środowiska, kradzieży danych systemowych oraz dostarczenia kolejnych payloadów. Dodatkowe zainteresowanie portfelami kryptowalutowymi i komunikatorami sugeruje motyw finansowy oraz koncentrację na danych o wysokiej wartości. Szczególnie niebezpieczne są kampanie podszywające się pod strony logowania usług biznesowych, ponieważ zwiększają wiarygodność komunikatu i skłaniają użytkowników do wykonania poleceń.
Rekomendacje
Organizacje powinny traktować kampanie ClickFix jako osobną klasę zagrożeń, wymagającą zarówno kontroli technicznych, jak i regularnej edukacji użytkowników. Najważniejszy komunikat szkoleniowy jest prosty: żadna legalna usługa nie wymaga uruchamiania komend w PowerShell, CMD ani Terminalu w celu „weryfikacji CAPTCHA” czy „naprawy sesji”.
Po stronie technicznej warto wdrożyć następujące działania:
- monitorowanie nietypowych uruchomień certutil, findstr, PowerShell i podobnych narzędzi w kontekście użytkownika końcowego,
- detekcję komend odwołujących się do cache przeglądarek i katalogów danych przeglądarkowych,
- reguły EDR i SIEM wykrywające sekwencję: wejście na stronę, kopiowanie do schowka, uruchomienie interpretera poleceń i wykonanie kodu z pamięci,
- inspekcję ruchu DNS pod kątem anomalii związanych z eksfiltracją i pobieraniem poleceń,
- ograniczenie uruchamiania nieautoryzowanych skryptów oraz wzmocnienie polityk AppLocker, WDAC lub rozwiązań równoważnych,
- dodatkową walidację stron podszywających się pod panele logowania usług biznesowych,
- rozszerzenie telemetrii o obserwację nietypowego użycia schowka, cache przeglądarki i artefaktów pamięciowych.
W środowiskach macOS warto dodatkowo monitorować LaunchAgents oraz nietypowe wykorzystanie wbudowanych narzędzi systemowych komunikujących się z infrastrukturą zewnętrzną. Pomocne będą także regularne ćwiczenia threat huntingowe ukierunkowane na bezplikowe infekcje, steganografię i nadużycie legalnych narzędzi administracyjnych.
Podsumowanie
DOUBLECUP pokazuje, że model malware-as-a-service nadal ewoluuje w kierunku większej skuteczności i niższego progu wejścia dla przestępców. Ukrywanie pierwszego etapu infekcji w obrazach PNG zapisanych w cache przeglądarki, połączenie tego z kampaniami ClickFix oraz dostarczanie modularnych ładunków takich jak CountLoader i DeviceManager tworzą elastyczny oraz trudniejszy do wykrycia łańcuch ataku.
Dla obrońców oznacza to konieczność szerszego spojrzenia na telemetrykę użytkownika końcowego, zachowania przeglądarek, użycie schowka, aktywność narzędzi systemowych i komunikację DNS. Równie ważne pozostaje wzmacnianie świadomości pracowników, bo w tym modelu to właśnie ręczne wykonanie polecenia przez ofiarę jest kluczowym momentem całej operacji.