De geïnjecteerde code fungeerde als een getrapte loader met meerdere lagen van omzeiling en doelwitbepaling . In plaats van direct malware te droppen, voerde het eerst omgevingscontroles uit om detectie te vermijden en te bepalen of het slachtoffer een geschikt doelwit was:
<script>-element in de pagina om volgende payloads op te halen ClickFix is een social engineering-techniek waarbij een kwaadaardig script een commando naar het klembord van de gebruiker kopieert en vervolgens instructies geeft om het te plakken en uit te voeren – meestal via Win + R, plakken en Enter. Het commando is vermomd als een verificatiestap. In deze aanval was de ClickFix-lok verwerkt in een nep-CAPTCHA-pagina die werd gegenereerd door de gecompromitteerde widget . Als een gebruiker de instructies volgde, activeerde het geplakte commando een PowerShell-script of een HTML Application (HTA)-bestand, waarna malware werd gedownload en geïnstalleerd
.
SmartApeSG is geen nieuwe speler. De groep heeft een gedocumenteerde geschiedenis van ClickFix-campagnes sinds medio 2024, waarbij NetSupport RAT, Remcos RAT, StealC en Sectop RAT werden geleverd in meerdere eerdere operaties . Eerdere campagnes gebruikten gecompromitteerde websites met nep-CAPTCHA-pagina's om gebruikers te verleiden kwaadaardige commando's te plakken en uit te voeren via het Windows Run-dialoogvenster
. De groep is ook waargenomen bij het implementeren van de DeerStealer-informatie-steler in eerdere ClickFix-varianten
. De Okendo-aanval vormt een escalatie: in plaats van individuele websites te infecteren, compromitteerde SmartApeSG een veelgebruikte widget van derden om duizenden sites tegelijk te bereiken – een klassieke supply chain-versterker
.
JS.Injection.SmartApeSG om de injectieactiviteit te volgen en te blokkeren hxxp://cdn-static[.]okendo[.]io/reviews-widget-plus/js/okendo-reviews[.]jsapi[.]wigetticks[.]com en api[.]wizzleticks[.]com
Comments
0 comments