Šta se desilo?

Istraživači kompanija Flare i Microsoft opisali su odvojene ClickFix kampanje koje skrivaju naredne faze napada pomoću DNS TXT zapisa ili keša browsera. Napad i dalje zavisi od toga da korisnik, zavaran lažnom proverom ili porukom o grešci, ručno izvrši podmetnutu komandu.

Koga pogađa?

Flare je analizirao CrocoRat lanac napada na Windows sisteme. Rizik postoji za korisnike koji prate uputstva zlonamerne stranice i pokreću komande iz clipboarda. Ovi nalazi ne dokazuju ranjivost svih verzija PowerShell-a, macOS Terminala ili browsera, niti potvrđuju napade u određenoj zemlji.

Kako se zaštititi?

  • Ne pokrećite komande koje stranica traži radi CAPTCHA provere, navodne popravke ili pristupa sadržaju.
  • U organizaciji uključite odgovarajuće PowerShell zapisivanje, uključujući script block logging, i nadzirite sumnjivo pokretanje skripti.
  • Primenite kontrolu aplikacija i ograničite pokretanje neodobrenih interpretera i skripti iz direktorijuma u koje korisnici mogu da pišu.
  • Održavajte zaštitu uređaja i browsera ažurnom. Samo brisanje keša nije dovoljan odgovor ako je komanda već izvršena.
  • Ako ste pokrenuli sumnjivu komandu, prijavite incident IT timu i sledite postupak izolacije i analize uređaja.

Tehnički detalji

U CrocoRat kampanji PowerShell prvo traži DNS TXT zapis od servera pod kontrolom napadača. Odgovor sadrži instrukciju za narednu fazu preuzimanja. Time se deo lanca skriva od analize same početne komande; ne uklanjaju se svi forenzički tragovi.

Flare je pronašao i neizvršenu Python skriptu koja bira različite komponente prema tome da li računar pripada domenu. To je pokazatelj mogućeg razvoja taktike, a ne dokaz da je takvo grananje izvršeno u svakom posmatranom napadu.

Microsoftova odvojena kampanja unapred učitava skriptu prikrivenu kao PNG u keš browsera. Nakon što korisnik izvrši komandu, taj sadržaj se koristi za sledeće faze. Dostupan opis ne potvrđuje da je ta keširana skripta Python; Python komponente pripadaju zasebnoj CrocoRat analizi.

Zašto je važno?

Zaštita treba da poveže ponašanje browsera, izvršavanje komandi, DNS zahteve i pokretanje novih procesa. Analiza samo jedne komande može propustiti naredne faze, ali napad nije nevidljiv za bezbednosne alate.

Preporuka Sajber Radara

U obuku uključite konkretan obrazac: veb-stranica ne treba da traži Windows+R i lepljenje komande radi potvrde da ste čovek. Tehničke kontrole i jasno prijavljivanje sumnjivih uputstava primenite zajedno.