Wprowadzenie do problemu / definicja
Kampanie typu ClickFix to forma socjotechniki, w której napastnicy nakłaniają użytkownika do samodzielnego uruchomienia złośliwego polecenia pod pozorem wykonania nieszkodliwej czynności, takiej jak rzekoma weryfikacja człowieka. W opisywanym wariancie ataku mechanizm ten został połączony z techniką EtherHiding oraz wykorzystaniem blockchaina Polygon do ukrywania i dynamicznej aktualizacji infrastruktury dowodzenia i kontroli.
Takie połączenie sprawia, że kampania jest groźna nie tylko dla odwiedzających zainfekowane strony, ale także dla samych organizacji, których legalne witryny zostały przejęte i użyte jako nośnik ataku.
W skrócie
- Atakujący skompromitowali co najmniej 31 organizacji i osadzili złośliwy JavaScript na ich stronach.
- Użytkownikom wyświetlano fałszywą nakładkę „human verification”, która prowadziła do ręcznego uruchomienia złośliwego polecenia.
- Po wykonaniu instrukcji instalowany był dropper pobierający kolejne komponenty malware oraz mechanizmy trwałości.
- Do zarządzania adresami C2 wykorzystano blockchain Polygon w modelu EtherHiding.
- Taki schemat utrudnia blokowanie infrastruktury i przyspiesza rotację wskaźników kompromitacji.
Kontekst / historia
ClickFix zdobył popularność jako skuteczna metoda obejścia zabezpieczeń opartych na klasycznej detekcji exploitów i automatycznym blokowaniu szkodliwych plików. Zamiast wykorzystywać bezpośrednio lukę w systemie końcowym, napastnik przenosi punkt krytyczny na użytkownika, który sam inicjuje wykonanie polecenia.
Równolegle rozwija się EtherHiding, czyli nadużywanie publicznej infrastruktury blockchain do przechowywania lub dystrybucji elementów konfiguracji potrzebnych w operacjach cyberprzestępczych. W praktyce pozwala to publikować informacje o serwerach C2 w rozproszonym środowisku, które jest trudniejsze do szybkiego wyłączenia niż tradycyjna domena czy pojedynczy adres IP.
W tej kampanii obie techniki zostały połączone w jeden model operacyjny. Legalne, lecz przejęte strony pełnią rolę przynęty, a Polygon działa jako zewnętrzna warstwa konfiguracyjna dla złośliwego oprogramowania.
Analiza techniczna
Łańcuch ataku rozpoczyna się od kompromitacji legalnych witryn należących do organizacji, między innymi z sektorów e-commerce, usług profesjonalnych i logistyki detalicznej. Na takich stronach osadzany jest złośliwy kod JavaScript, który odpowiada za prezentację przynęty i uruchomienie dalszych etapów infekcji.
Po wejściu użytkownika na zainfekowaną stronę skrypt może przeprowadzać wstępną selekcję celu. Jeśli warunki są spełnione, ofiara widzi fałszywą warstwę przypominającą standardową weryfikację człowieka. Zamiast prawdziwej kontroli CAPTCHA użytkownik otrzymuje instrukcje, aby użyć kombinacji klawiszy i wkleić wskazaną komendę do środowiska Windows.
Ten moment jest kluczowy, ponieważ to użytkownik uruchamia złośliwy ciąg poleceń. Następnie aktywowany jest dropper, który łączy się z serwerem pośrednim, pobiera właściwy komponent malware i ustanawia mechanizmy trwałości pozwalające przetrwać restart systemu.
Najbardziej charakterystycznym elementem kampanii jest obsługa infrastruktury C2. Zamiast odwoływać się do stałego hosta, malware pobiera aktualne dane kontaktowe z informacji publikowanych w blockchainie Polygon. Dzięki temu operator może zmieniać punkt końcowy komunikacji bez konieczności przebudowy lub ponownego dostarczania binariów do już zainfekowanych systemów.
Z perspektywy obrony oznacza to wyższy poziom elastyczności po stronie napastnika. Blokada pojedynczej domeny lub adresu IP może przynieść jedynie krótkotrwały efekt, ponieważ nowy serwer C2 może zostać szybko wskazany przez zmianę danych dostępnych w publicznym łańcuchu bloków.
Konsekwencje / ryzyko
Ryzyko ma w tym przypadku dwa wymiary. Pierwszy dotyczy organizacji, których strony internetowe zostały przejęte. Taka kompromitacja może prowadzić do strat reputacyjnych, utraty zaufania klientów, kosztownej analizy powłamaniowej oraz konieczności usuwania skutków incydentu zarówno po stronie aplikacji webowej, jak i infrastruktury administracyjnej.
Drugi wymiar obejmuje użytkowników odwiedzających zainfekowane serwisy. Atak opiera się na socjotechnice, więc nawet środowiska z aktualnym oprogramowaniem i ograniczoną powierzchnią ataku mogą zostać naruszone, jeśli użytkownik wykona polecenia przedstawione w fałszywej nakładce.
Dodatkowym problemem jest trwałość infekcji i możliwość dynamicznej zmiany infrastruktury sterującej. To sprawia, że klasyczne listy IOC szybko się dezaktualizują, a ruch do usług powiązanych z blockchainem może zlewać się z legalną aktywnością sieciową.
Rekomendacje
Organizacje powinny podejść do tego zagrożenia jako do połączenia ryzyka po stronie aplikacji webowych, stacji roboczych, sieci oraz świadomości użytkowników.
- Regularnie aktualizować CMS, wtyczki i komponenty stron internetowych.
- Monitorować integralność plików oraz nieautoryzowane zmiany w kodzie JavaScript.
- Skanować witryny pod kątem wstrzyknięć i podejrzanych elementów front-endu.
- Monitorować uruchomienia PowerShella, interpreterów poleceń i niepodpisanych skryptów.
- Analizować mechanizmy trwałości, takie jak autostart, harmonogram zadań i nietypowe procesy potomne.
- Ograniczać nieuzasadniony biznesowo ruch do usług RPC i innych zasobów związanych z publicznymi blockchainami.
- Korelować wizyty na stronach internetowych z późniejszym uruchomieniem narzędzi skryptowych na hostach.
- Szkolić użytkowników, że legalna weryfikacja nie wymaga używania Windows+R ani wklejania poleceń do systemu.
- Przygotować playbooki reagowania obejmujące jednocześnie kompromitację witryny oraz potencjalne infekcje odwiedzających.
Podsumowanie
Nowa kampania ClickFix pokazuje, że współczesne operacje nie muszą opierać się wyłącznie na klasycznych exploitach czy prostych infostealerach. Połączenie socjotechniki z dynamiczną warstwą konfiguracyjną opartą na Polygon znacząco zwiększa odporność infrastruktury przestępczej na standardowe działania blokujące.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że skuteczna obrona wymaga jednoczesnego wzmacniania bezpieczeństwa aplikacji webowych, kontroli wykonywania skryptów, monitoringu ruchu sieciowego oraz edukacji użytkowników. Dopiero takie podejście ogranicza skuteczność nowoczesnych wariantów ClickFix i EtherHiding.
Źródła
- https://www.darkreading.com/endpoint-security/clickfix-campaign-comprises-31-orgs-abuses-polygon-blockchain
- https://www.guidepointsecurity.com/