Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
ClickFix to technika socjotechniczna, w której ofiara zostaje nakłoniona do samodzielnego uruchomienia polecenia lub pobrania komponentu pod pozorem rozwiązania błędu, weryfikacji CAPTCHA albo problemu bezpieczeństwa. Najnowsze kampanie pokazują jednak, że model ten wykracza dziś poza jednorazowe wykonanie komendy i coraz częściej obejmuje także mechanizmy utrzymania dostępu do systemu.
W opisywanym scenariuszu napastnicy połączyli ClickFix z PySoxy, czyli otwartoźródłowym serwerem proxy SOCKS5 napisanym w Pythonie. Takie zestawienie pozwala nie tylko uzyskać początkowy dostęp, ale również zachować elastyczny kanał komunikacji i wznowić aktywność po częściowym zablokowaniu incydentu.
W skrócie
- Atakujący łączą technikę ClickFix z narzędziem PySoxy, aby utrzymać trwały dostęp do systemu.
- Zamiast od razu wdrażać końcowy ładunek, intruzi najpierw rozpoznają środowisko i sprawdzają łączność z własną infrastrukturą.
- Persystencja jest realizowana przez zaplanowane zadanie systemowe, które umożliwia ponowne uruchamianie aktywności.
- Zablokowanie pojedynczego skryptu lub połączenia C2 nie musi oznaczać pełnego opanowania incydentu.
Kontekst / historia
W ostatnich kilkunastu miesiącach ClickFix stał się jedną z częściej obserwowanych technik dostępu początkowego opartych na interakcji użytkownika. Zamiast załącznika lub exploita, ofiara otrzymuje instrukcję uruchomienia polecenia w zaufanym komponencie systemu, takim jak PowerShell, cmd czy terminal. Dzięki temu napastnicy ograniczają liczbę klasycznych artefaktów, które zwykle uruchamiają alarmy bezpieczeństwa.
Wcześniej schemat ten był wykorzystywany głównie do dostarczania infostealerów, loaderów i zdalnych trojanów dostępowych. Obecnie obserwowany jest kolejny etap ewolucji: modularność działań po infekcji, wykorzystanie legalnych interpreterów i nadużywanie środowiska Python do tunelowania ruchu, uruchamiania skryptów oraz obchodzenia części mechanizmów detekcyjnych.
Analiza techniczna
Najważniejszą cechą tej kampanii jest etapowość działania. PySoxy nie jest uruchamiany natychmiast po uzyskaniu dostępu. Najpierw atakujący wykonują rozpoznanie hosta, identyfikują potencjalne cele dalszej penetracji i sprawdzają, czy maszyna ma możliwość komunikacji z infrastrukturą kontrolowaną przez przeciwnika. Dopiero po potwierdzeniu tych warunków wdrażany jest komponent proxy.
PySoxy jako lekki serwer SOCKS5 może pełnić w ataku kilka istotnych funkcji. Umożliwia pośredniczenie ruchu do kolejnych etapów operacji, ukrywanie właściwego celu komunikacji, budowanie elastycznego kanału dostępowego bez instalowania rozbudowanego backdoora oraz ponawianie prób dostarczenia dalszych ładunków.
Szczególnie ważny jest mechanizm persystencji. Aktywność może być wznawiana przez zaplanowane zadanie systemowe, co oznacza, że nawet jeśli rozwiązanie EDR lub AV zablokuje konkretny skrypt PowerShell, Pythona albo próbę wdrożenia RAT-a, sam mechanizm odpowiedzialny za ponowne uruchomienie pozostaje aktywny. Z perspektywy zespołu obrony łatwo więc uznać incydent za zatrzymany, choć rzeczywisty punkt zaczepienia nadal istnieje.
Tego typu model dobrze wpisuje się w trend nadużywania narzędzi living-off-the-land i komponentów, które nie przypominają klasycznego malware. Interpreter Python oraz prosty serwer proxy mogą wyglądać mniej podejrzanie niż tradycyjny backdoor, dlatego coraz większego znaczenia nabierają analiza linii poleceń, harmonogramu zadań, relacji między procesami i nietypowej komunikacji wychodzącej.
Konsekwencje / ryzyko
Największym zagrożeniem jest fałszywe przekonanie, że incydent został opanowany po zablokowaniu pojedynczego skryptu lub połączenia C2. Jeśli organizacja nie usunie mechanizmu trwałości, intruz może odzyskać dostęp, wznowić ruch boczny lub wdrożyć kolejne ładunki w dogodniejszym momencie.
- ponowne uzyskanie dostępu do zainfekowanego hosta,
- dalszy ruch boczny w środowisku,
- kradzież danych uwierzytelniających i informacji operacyjnych,
- wdrożenie kolejnych narzędzi post-exploitation,
- wykorzystanie przejętej maszyny jako punktu pośredniczącego w sieci.
Ryzyko rośnie również dlatego, że ClickFix bazuje na działaniach samego użytkownika. Tego rodzaju aktywność może omijać część zabezpieczeń skoncentrowanych na klasycznych wektorach dostawy, a użycie otwartoźródłowego komponentu jako narzędzia pośredniczącego utrudnia jednoznaczną klasyfikację zdarzenia jako infekcji malware.
Rekomendacje
Organizacje powinny traktować incydenty ClickFix jako potencjalnie pełne naruszenia bezpieczeństwa, a nie wyłącznie nieudaną próbę infekcji. W praktyce warto wdrożyć kilka kluczowych działań.
- Regularnie przeglądać zaplanowane zadania, mechanizmy autostartu, wpisy Run i RunOnce oraz usługi uruchamiane nietypowo.
- Monitorować środowisko Python, w tym obecność interpreterów, skryptów w profilach użytkowników i poleceń wskazujących na tunelowanie lub uruchamianie proxy.
- Rozszerzyć reguły detekcyjne o nietypowe linie poleceń w PowerShell, cmd i innych interpreterach skryptowych.
- Weryfikować pełne usunięcie wszystkich śladów ataku, a nie tylko końcowego ładunku.
- Izolować host, jeśli użytkownik wykonał polecenie dostarczone w ramach ClickFix, oraz przeprowadzać pełną analizę pamięci, dysku i logów uwierzytelnienia.
- Stosować zasadę najmniejszych uprawnień i ograniczać ruch wychodzący do niezbędnych destynacji oraz protokołów.
- Prowadzić szkolenia uświadamiające, że prośby o wklejanie poleceń do narzędzi systemowych są silnym wskaźnikiem socjotechniki.
Podsumowanie
Połączenie ClickFix z PySoxy pokazuje, że kampanie oparte na socjotechnice stają się bardziej dojrzałe i trudniejsze do neutralizacji. Atak nie kończy się już na skłonieniu użytkownika do uruchomienia polecenia, ale może prowadzić do wdrożenia lekkiego i trwałego kanału dostępowego, który pozwala napastnikowi wrócić do środowiska mimo częściowej blokady jego działań.
Dla zespołów bezpieczeństwa kluczowy wniosek jest prosty: zablokowanie początkowego skryptu nie wystarcza. Konieczne są przegląd mechanizmów persystencji, analiza artefaktów Python, weryfikacja harmonogramu zadań oraz potwierdzenie, że w środowisku nie pozostał żaden element umożliwiający odtworzenie aktywności intruza.
Źródła
- Attackers Combine ClickFix With PySoxy to Maintain Persistence
- New Clickfix variant ‘CrashFix’ deploying Python Remote Access Trojan
- Australian Cyber Security Centre Issues Alert Over ClickFix Attacks
- ‘ClickFix’ Cyber-Attacks for Malware Deployment on the Rise
- Stay Ahead of Ransomware: Initial Access via Evolving Social Engineering