Elizabeth Montalbano, Contributing Writer
Saldırı, Amazon ile ilgili kötü niyetli Google arama sonuçlarını kullanıyor ve Lumma stealer da dahil olmak üzere kötü yazılım yükleyen bir CAPTCHA başlatmak için "finger" yardımcı programından faydalanıyor.
Yeni bir ClickFix saldırısı, bilgi hırsızı ve uzaktan yönetim yazılımı ile kullanıcı makinelerini tehlikeye atan kötü niyetli komutları çalıştırmak için eski bir Windows yardımcı programından yararlanıyor; bu durum teknolojik kalıntıların bile saldırganlar için fırsat sunabildiğini gösteriyor.
Huntress araştırmacıları tarafından keşfedilen saldırı, kullanıcıların "amazon business" anahtar kelimeleri için sponsorlu bir Google arama sonucuna tıklamasına dayanıyor ve ardından sahte bir Amazon giriş sayfası açarak ClickFix saldırısını sahte bir CAPTCHA zorluğu şeklinde gömüyor; bu durum bugün yayımlanan rapora göre.
Sayfa kullanıcıdan e-posta veya telefon numarası girmesini istiyor ve bu alanlar doldurulduğunda ClickFix saldırıları için tipik olarak dayanak olan sahte bir CAPTCHA penceresi açılıyor. Huntress araştırmacıları Sarah Reddish ve Spike Brandt raporlarında bunu açıkladı.
Kullanıcılar CAPTCHA ile etkileşime geçtiğinde saldırı, Windows'un yerleşik finger yardımcı programını devreye sokuyor. Erken internet döneminden kalma ve 1970'lerin başında tanıtılan bu araç, saldırganlar tarafından yaşam alanı üzerinde kalma ikili dosyası olarak kullanılıyor. Bir finger komutu, korsan bir NetSupport Client uzaktan izleme ve yönetim aracı ile Lumma Stealer sürümünün bırakılmasıyla sonuçlanan karmaşık çok katmanlı bir saldırı zincirini başlatıyor.
Saldırganlar kötü niyetli sonucu orders-amazon[.]com[.]advancedfences[.]com gibi "şüpheli" bir alanda barındırdı ve bağlantı özel bir Google Sites bulut depolama konumunda barındırılan sahte bir Amazon giriş sayfasına yönlendirdi. Rapora göre Google kötü niyetli reklamı kaldırdı ancak saldırgan altyapısı çevrimiçi ve işlevsel kalmaya devam ediyor; araştırmacılar saldırganların giderek artan bir "barbekü temalı" alan adı listesi kullandığını belirtiyor.
Tehlikeye işaret eden finger
finger yardımcı programının kullanımı, bu saldırıyı 2024'te ortaya çıkmasından bu yana tehdit aktörlerinin favorisi haline gelen önceki ClickFix tarzı saldırılardan ayıran farkın bir parçası.
"Buradaki fark zincirin derinliği" diyor Huntress güvenlik operasyonları analisti Reddish Dark Reading'e. "Kullanıcının eyleminden doğrudan bir yüklemeye geçmek yerine, sahte CAPTCHA finger.exe'yi kullandı; bu da uzaktan bir .plan dosyası çalıştırdı, IronPython kurdu, birden fazla karıştırılmış yükleyici, iddia edilen bir Lumma Stealer örneği ve gizli bir NetSupport Client yükledi."
Genel olarak bu durum, "ClickFix'in basit bir kullanıcı hilesinden, analistin araştırmasını zorlaştırmak için tasarlanmış birden fazla yük için modüler bir dağıtım yoluna evrildiğini gösteriyor" diye ekliyor.
Tehdit aktörleri önceki ClickFix kampanyalarında meşru hizmetleri kötüye kullandı. Bu durumda finger, birçok sistemde hâlâ mevcut olmasına rağmen "az kullanıcının veya savunucunun beklemediği" bir araç olduğu için saldırganlara faydalı. Reddish, "'Eski' 'alakasız' demek değildir" diyor. "Burada saldırgan tarafından kontrol edilen metni uzaktan bir .plan dosyasından aldı ve saldırıyı sessizce bir sonraki aşamaya devretti."
Gerçekten de finger, yardımcı programın kullanımının sağladığı doğal kaçınma nedeniyle saldırganlara avantaj sunuyor. Huntress'te baş tehdit istihbaratı olay komutanı Brandt, "Statik bir TCP/IP port numarası kullanıyor ancak proxy farkında değil ve güvenlik duvarları, ağ filtreleri veya DLP araçları bu porttaki trafiği o kadar nadir olduğu için görmezden gelebilir" diye belirtiyor.
Buna göre Reddish, "aynı giriş noktası bilgi hırsızı, RAT, fidye yazılımı veya uzaktan yönetim aracı gibi birçok kötü yazılım türünün kurulmasına yol açabilir" diye not düşüyor.
Beklenmedik saldırı vektörlerine karşı savunma
finger yardımcı programı saldırıları, Huntress analistlerinin ClickFix faaliyetlerinde gördüğü bir eğilimi gösteriyor. Reddish'e göre saldırganlar meşru çevrimiçi aktiviteyle daha iyi karışmak için meşru hizmet ve yardımcı programları "güvenilir markalar, sponsorlu reklamlar, yerleşik yardımcı programlar, modüler yükler ve platforma özgü yemler" ile eşleştiriyor.
Üstelik Reddish'e göre ClickFix, bu yıl şimdiye kadar Huntress Managed EDR tespit sinyallerinin yaklaşık yüzde 2,2'sini oluşturdu ve bu tespitlerin neredeyse yüzde 99'u yüksek şiddetliydi. Bu durum araştırmacılara göre yaşam alanı üzerinde kalma ve ClickFix teknikleri açısından bu tarz saldırılara karşı savunucuların daha da uyanık olmasını gerektiriyor.
İlkiyle başa çıkmak için güvenlik ekipleri, saldırganlar tarafından yaygın veya nadir şekilde kötüye kullanılan meşru araçları envantere almalı, "iş amacı olmayan her şeyi devre dışı bırakmalı ve nadiren kullanılan yardımcı programlar kullanıcı odaklı yürütme zincirlerinde aniden belirdiğinde uyarı vermeli" diye tavsiyede bulunuyor Brandt.
Reddish'e göre ekipler ayrıca dışarıya TCP/79'u izleyebilir veya engelleyebilir, beklenmedik finger.exe etkinliği konusunda uyarı verebilir, Çalıştır iletişim kutusunu mümkün olduğunca kısıtlayabilir ve C:\ProgramData altında alışılmadık hazırlık, gizli NetSupport etkinliği ve TCP/725 gibi standart dışı portları izleyebilir.
Genel bir kural olarak ekliyor, güvenlik ekipleri kullanıcılara "meşru hiçbir CAPTCHA, komutu Çalıştır, PowerShell veya Komut İstemi'ne yapıştırmalarını istemez" diye öğretmekle ClickFix tehditlerini hafifletebilir; bu vektör saldırılarla mağdurların tehlikeye atılması sağlanıyor.
