ClickFix-кампания распространяет загрузчик Romulus Loader через вредоносную рекламу на скомпрометированных сайтах и поддельные страницы Custom GPT. Инфраструктура оставалась рабочей на момент публикации, а жертвами становятся пользователи Windows, выполнившие предложенную команду. Схема не требует уязвимости: человеку показывают инструкцию скопировать команду и вставить её в диалог «Выполнить». Команда PowerShell обращается к вредоносному адресу, записанному в десятичном виде, - вероятно, для обхода правил обнаружения, которые ищут стандартное написание адресов. Сам Romulus Loader служит промежуточным звеном: он доставляет следующее вредоносное ПО, обходит антивирусный интерфейс AMSI и внедряется в чужие процессы.
Описание
С этого адреса скачивается установщик MSI. Внутри - три стадии обфусцированных полезных нагрузок, а запускают их VBScript Custom Actions. Скрипт принимает путь к установщику первым аргументом, открывает базу MSI и запросом достаёт из неё бинарный поток. Извлечённый массив байтов разбирается как исполняемый файл и загружается в память. Содержимое прячут двухслойное числовое кодирование и стеганографический алгоритм с выборкой байтов. В секции данных исполняемого файла лежит код, зашифрованный алгоритмом AES-256-CBC.
Расшифровку выполняет CryptoAPI, после чего вредоносный код запускается. Промежуточный PowerShell-скрипт появляется во временном каталоге под случайным именем, стартует с отключённой политикой выполнения и скрытым окном, а после отработки удаляется. Закрепление обеспечивает ключ автозапуска RunOnce. Связь с сервером управления идёт по HTTPS с повторными попытками, обмен между процессами - через именованные каналы.
По данным исследования, расшифрованный код собирает сведения о машине: местоположение через сторонний сервис, серийный номер тома, параметры устройства через WMI и COM. Собранное уходит на сервер управления base64-кодированным POST-запросом. В запросе стоит поддельная строка User-Agent браузера Chrome или Vivaldi.
В распакованном файле нашлись десять техник внедрения в процесс, конкретную выбирает значение конфигурации. Целевой процесс по умолчанию - explorer.exe. Часть техник выполняет полое внедрение через создание приостановленного процесса и подмену его содержимого. Обход AMSI построен на исправлении процедур проверки в приостановленном процессе RuntimeBroker.exe.
При изучении инфраструктуры аналитики попали на панель управления Romulus Loader. На ней размещались разные MSI и PowerShell-скрипты, которые расходились через ClickFix. Один и тот же адрес отдавал установщик с новым SHA-256 при каждом запросе. Часть скриптов после декодирования снова содержала десятично закодированную команду со ссылкой на MSI. Поиск по хешу страницы входа панели вывел на другие адреса с похожей инфраструктурой. Часть установщиков маскировалась под легитимное ПО, но несла вредоносные DLL, которые грузились в память через побочную загрузку библиотек.
Число пострадавших, отрасли и география в публикации не названы, поэтому масштаб кампании по открытым данным оценить нельзя. Не установлено и то, какие именно рекламные сети и страницы Custom GPT использовались в каждой волне. Инфраструктура на момент публикации оставалась рабочей, хотя часть узлов уже не отвечала.
Страницы Custom GPT и Google Sites, служившие приманкой, на момент публикации не открывались, а связанные с инфраструктурой домены и адреса не разрешались. Набор артефактов включает хеши установщика, VBScript-стаба, PowerShell-скрипта и страницы входа панели. Для части адресов приведены примеры страниц входа. Сколько пользователей выполнили команду и какие сведения успели уйти на серверы управления, не установлено.
Индикаторы компрометации
