Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
DOUBLECUP to nowo zaobserwowany model loader-as-a-service, zaprojektowany do obsługi wieloetapowych kampanii malware wymierzonych w systemy Windows i macOS. Wyróżnia go połączenie socjotechniki typu ClickFix z wykorzystaniem obrazów PNG zapisanych w pamięci podręcznej przeglądarki jako nośnika ukrytego kodu.
Takie podejście pozwala operatorom oddzielić etap pobrania komponentu od jego wykonania, a jednocześnie utrudnia analizę incydentu. Dodatkowe mechanizmy, takie jak steganografia, szyfrowanie zależne od środowiska ofiary i rozproszona infrastruktura dowodzenia, zwiększają skuteczność ataków oraz obniżają ich wykrywalność.
W skrócie
DOUBLECUP działa jako usługa dla przestępców, oferując gotowe komponenty do budowy kampanii infekcyjnych. Łańcuch ataku zaczyna się od fałszywych stron logowania lub komunikatów naprawczych ClickFix, które nakłaniają ofiarę do uruchomienia polecenia skopiowanego do schowka.
- Przynęta pobiera do cache przeglądarki obraz PNG z ukrytym kodem.
- Uruchomione przez użytkownika polecenie wyszukuje plik i wydobywa z niego kolejny etap infekcji.
- Końcowe ładunki obejmują CountLoader oraz trojana zdalnego dostępu DeviceManager.
- Kampania obsługuje zarówno środowiska Windows, jak i macOS.
Kontekst / historia
Aktywność związana z DOUBLECUP była obserwowana od początku czerwca 2026 roku. Wszystko wskazuje na dojrzały model cyberprzestępczy, w którym twórcy platformy udostępniają klientom licencje, panel operatorski i narzędzia do konfiguracji wielu kampanii jednocześnie.
Badacze powiązali infrastrukturę z otwartym katalogiem testowym, który ujawnił elementy panelu licencyjnego. Kampanie wykorzystujące DOUBLECUP podszywały się między innymi pod popularne usługi CRM i biznesowe strony logowania, co wpisuje się w rosnący trend komercjalizacji technik ClickFix jako skutecznego sposobu uzyskiwania początkowego dostępu.
Analiza techniczna
Architektura DOUBLECUP jest wieloetapowa. Operator przygotowuje stronę przynętę z komponentem front-endowym odpowiedzialnym za pobranie konfiguracji, rejestrację sesji oraz dopasowanie polecenia do używanej przez ofiarę przeglądarki. Konfiguracja może zawierać adres obrazu steganograficznego, identyfikatory sesji oraz komendy dla takich przeglądarek jak Chrome, Edge, Firefox, Brave czy Opera.
Po wejściu na stronę użytkownik otrzymuje instrukcję typu ClickFix. Zanim wykona polecenie, przeglądarka zapisuje w pamięci podręcznej obraz PNG zawierający ukryty kod. Następnie komenda uruchomiona przez ofiarę lokalizuje ten plik i wyodrębnia z niego osadzony JavaScript, VBScript lub PowerShell, który inicjuje kolejny etap infekcji.
Istotnym elementem jest szyfrowanie zależne od środowiska. Drugi etap odszyfrowuje payload bezpośrednio w pamięci, wykorzystując niestandardowe podejście oparte na SHA-256 w trybie CTR oraz operacjach XOR. Klucz pochodny tworzony jest na podstawie publicznego adresu IPv4 ofiary, co znacząco utrudnia analizę próbek poza docelowym środowiskiem i ogranicza skuteczność sandboxów.
Jednym z dostarczanych ładunków jest CountLoader w wariantach dla Windows i macOS. Nowsze próbki zawierają funkcje utrwalania obecności przez zadania harmonogramu, profilowania hosta, identyfikacji rozszerzeń przeglądarek związanych z portfelami kryptowalut oraz sprawdzania obecności Signal Desktop. Zaobserwowano także kod modyfikujący skróty przeglądarek w celu uruchamiania złośliwego komponentu równolegle z legalnym procesem.
Drugim payloadem jest DeviceManager, modułowy RAT napisany w Pythonie i dystrybuowany w instalatorze opartym na Inno Setup, skompilowanym z użyciem Delphi. Po uruchomieniu rozpakowuje osadzone środowisko Pythona i aktywuje właściwe złośliwe oprogramowanie. DeviceManager wykorzystuje technikę EtherHiding, pobierając informacje o aktywnej infrastrukturze C2 z kontraktów smart contract w sieciach Ethereum lub Polygon, a następnie komunikuje się przez HTTP albo tunelowanie DNS. Dodatkowo unika działania w środowiskach powiązanych z wybranymi lokalizacjami językowymi krajów WNP, gdzie uruchamia procedurę samousunięcia.
Konsekwencje / ryzyko
DOUBLECUP zwiększa skuteczność ataków, ponieważ opiera się przede wszystkim na socjotechnice, a nie na klasycznych exploitach. Dzięki temu może omijać część zabezpieczeń nastawionych na wykrywanie podatności i podejrzanych plików pobieranych w oczywisty sposób z internetu.
Dodatkowym problemem jest wykorzystanie pamięci podręcznej przeglądarki jako miejsca przechowywania nośnika z ukrytym kodem. Rozdzielenie fazy pobrania od fazy wykonania utrudnia korelację zdarzeń, a szyfrowanie zależne od publicznego IP ofiary komplikuje analizę laboratoryjną oraz odtwarzanie pełnego łańcucha infekcji.
Z punktu widzenia organizacji ryzyko obejmuje zarówno pojedyncze stacje robocze, jak i całe środowiska korporacyjne. CountLoader może służyć do pobierania kolejnych komponentów, natomiast DeviceManager zapewnia zdalne wykonywanie poleceń, uruchamianie skryptów i eksfiltrację danych systemowych. W praktyce oznacza to zagrożenie dla poufności, integralności i dostępności zasobów oraz możliwość dalszego ruchu bocznego.
Rekomendacje
Organizacje powinny traktować kampanie ClickFix jako pełnoprawny wektor początkowego dostępu. Ochrona nie może ograniczać się wyłącznie do blokowania exploitów, ale powinna obejmować także zachowania użytkowników, uruchamianie poleceń z poziomu schowka oraz nietypową aktywność przeglądarek i interpreterów skryptów.
- Wdrożyć kontrolę uruchamiania poleceń z okna Uruchom, PowerShell, cmd oraz interpreterów skryptowych.
- Ograniczyć wykonywanie VBS, HTA i niezaufanych skryptów PowerShell przez polityki aplikacyjne i allowlisting.
- Włączyć rozbudowane logowanie PowerShell, w tym Script Block Logging.
- Monitorować procesy odczytujące dane z katalogów cache przeglądarek.
- Wykrywać procesy potomne uruchamiane przez przeglądarki bez uzasadnienia biznesowego.
- Analizować tworzenie zadań harmonogramu i modyfikacje skrótów przeglądarek.
- Inspekcjonować ruch DNS pod kątem tunelowania oraz nietypowych anomalii komunikacyjnych.
- Monitorować połączenia do infrastruktury blockchain tam, gdzie nie są one uzasadnione operacyjnie.
- Szkolić użytkowników w zakresie fałszywych komunikatów naprawczych i instrukcji kopiuj-wklej.
Zespoły threat hunting powinny dodatkowo sprawdzać obecność osadzonych środowisk Pythona w nietypowych lokalizacjach, artefaktów Inno Setup oraz śladów po samousuwających się zadaniach harmonogramu.
Podsumowanie
DOUBLECUP pokazuje, jak bardzo dojrzały stał się rynek usług malware opartych na socjotechnice i modułowym dostarczaniu payloadów. Połączenie ClickFix, steganografii w PNG, szyfrowania zależnego od środowiska oraz rozproszonego pozyskiwania adresów C2 przez EtherHiding tworzy łańcuch infekcji trudny do wykrycia i analizy.
Dla obrońców oznacza to konieczność rozszerzenia widoczności poza tradycyjne wskaźniki kompromitacji. Kluczowe staje się monitorowanie zachowań użytkownika, aktywności skryptowej, operacji na cache przeglądarek oraz anomalii sieciowych, które mogą wskazywać na rozwijającą się kampanię wieloetapową.
Źródła
- DOUBLECUP Uses ClickFix and Cached PNGs to Deliver CountLoader and DeviceManager RAT
- SOCRadar Blog — ClickFix Campaign: Fake Google Meet Alerts Spread Malware Across Windows and macOS
- SOCRadar Blog — ClickFix & FileFix
- Ars Technica — Now, even Russia’s most elite hackers are using Clickfix to infect devices