Команда Elastic Security Labs зафиксировала резкий рост активности злоумышленников, использующих технику ClickFix для распространения вредоносного ПО, включая трояны удаленного доступа и инфостилеры. Этот метод социальной инженерии, впервые замеченный в марте 2024 года, продолжает активно развиваться, становясь одним из самых популярных векторов начального доступа.
Описание
ClickFix работает по простому, но эффективному сценарию: пользователю предлагается скопировать и вставить вредоносную команду PowerShell, замаскированную под решение технической проблемы, например, обновление браузера или проверку CAPTCHA. В результате исполнения команды на устройство загружается вредоносный код, который может привести к установке таких угроз, как GHOSTPULSE, LUMMA и ARECHCLIENT2 (также известный как SectopRAT).
В ходе анализа одной из последних кампаний исследователи обнаружили, что после успешного применения ClickFix злоумышленники загружают обновленную версию GHOSTPULSE - многоступенчатого загрузчика, который затем внедряет в память финальную полезную нагрузку - ARECHCLIENT2. Этот троян способен красть криптовалютные кошельки, пароли из браузеров, куки, данные автозаполнения, а также собирать системную информацию и выполнять команды с сервера управления.
Интересно, что GHOSTPULSE продолжает эволюционировать: в новых версиях конфигурация загрузчика хранится в зашифрованном файле, а не в самом бинарнике, что усложняет анализ. Кроме того, злоумышленники активно используют обход механизмов защиты, такие как патчинг AMSI и загрузка .NET CLR в память для рефлективного запуска ARECHCLIENT2.
Инфраструктура атаки включает в себя скомпрометированные серверы, маскирующиеся под легитимные рекламные агентства, а также целую сеть C2-серверов, развернутых в разных автономных системах. Некоторые из них используют обратные прокси для сокрытия реальных серверов управления.
Эксперты Elastic Security Labs рекомендуют пользователям быть предельно осторожными при выполнении любых инструкций, требующих копирования и вставки команд, особенно если они поступают с подозрительных сайтов. Также важно регулярно обновлять системы защиты и использовать решения, способные обнаруживать сложные многоступенчатые атаки.
Индикаторы компрометации
