Kode yang disusupi bertindak sebagai staged loader dengan beberapa lapisan penghindaran dan penargetan . Alih-alih langsung menjatuhkan malware, kode ini terlebih dahulu melakukan pemeriksaan lingkungan untuk menghindari deteksi dan memastikan korban adalah target yang cocok:
<script> baru ke halaman untuk mengambil muatan lanjutan ClickFix adalah teknik rekayasa sosial di mana skrip berbahaya menyalin perintah ke clipboard pengguna, lalu menampilkan instruksi yang meminta mereka untuk menempelkan dan menjalankannya — biasanya dengan menekan Win + R, menempel, dan menekan Enter. Perintah tersebut disamarkan sebagai langkah verifikasi. Dalam serangan ini, umpan ClickFix disematkan ke dalam halaman CAPTCHA palsu yang dihasilkan oleh widget yang disusupi . Jika pengguna mengikuti instruksi, perintah yang ditempelkan memicu skrip PowerShell atau file HTML Application (HTA), yang kemudian mengunduh dan menginstal malware
.
SmartApeSG bukanlah aktor baru. Kelompok ini memiliki sejarah terdokumentasi dalam menjalankan kampanye gaya ClickFix sejak pertengahan 2024, mengirimkan NetSupport RAT, Remcos RAT, StealC, dan Sectop RAT di beberapa operasi sebelumnya . Kampanye sebelumnya menggunakan situs web yang disusupi dengan halaman CAPTCHA palsu untuk mengelabui pengguna agar menempelkan dan menjalankan perintah berbahaya melalui dialog Windows Run
. Kelompok ini juga terlihat menggunakan DeerStealer info-stealer dalam varian ClickFix sebelumnya
. Serangan Okendo merupakan eskalasi: alih-alih menginfeksi situs web individu, SmartApeSG menyusupi widget pihak ketiga yang banyak digunakan untuk menjangkau ribuan situs sekaligus — penguat rantai pasokan klasik
.
JS.Injection.SmartApeSG untuk melacak dan memblokir aktivitas injeksi hxxp://cdn-static[.]okendo[.]io/reviews-widget-plus/js/okendo-reviews[.]jsapi[.]wigetticks[.]com dan api[.]wizzleticks[.]com
Comments
0 comments