Fałszywa weryfikacja Cloudflare może skończyć się instalacją malware

Strona przypominająca kontrolę bezpieczeństwa Cloudflare wygląda jak zwykły etap przeglądania internetu. W atakach typu ClickFix staje się jednak instrukcją uruchomienia złośliwego polecenia na własnym komputerze. Opisano dwa takie przypadki dotyczące użytkowników Windows: kampanię z użyciem przejętych ukraińskich stron firmowych oraz osobną przynętę na domenie third-party.com. Podobny wygląd stron nie dowodzi, że mają tych samych operatorów lub dostarczają to samo złośliwe oprogramowanie. 315

Przejęta strona, fałszywy test i instalator Psychedelic

Według Arctic Wolf Labs napastnicy umieścili na legalnych ukraińskich stronach firmowych osadzone elementy (iframe), które wyświetlają po ukraińsku fałszywą weryfikację Cloudflare. Gdy odwiedzający wejdzie w interakcję z przynętą, polecenie msiexec trafia do schowka, a instrukcja każe wkleić je w systemowym oknie Uruchom. Wykonanie polecenia pobiera instalator MSI służący do dostarczenia Psychedelic Stealer. Samo zobaczenie strony nie jest równoznaczne z instalacją — kluczowe jest uruchomienie polecenia przez użytkownika. 313

Psychedelic ma wykradać hasła zapisane w przeglądarkach, tokeny dostępu do kont i dane portfeli kryptowalutowych. Opisy malware wskazują również na utrzymywanie się w systemie za pomocą zaplanowanych zadań oraz kontakt z infrastrukturą sterującą, od której może otrzymywać kolejne zadania. Po podejrzeniu uruchomienia programu trzeba więc sprawdzić zarówno możliwy wyciek danych, jak i to, czy zagrożenie nadal działa. 313

Arctic Wolf Labs odnotowało ofiary w 32 krajach Europy, obu Ameryk oraz regionu Azji i Pacyfiku, mimo że przynęta jest po ukraińsku. To informacja o zasięgu geograficznym, nie liczba infekcji; dostępne doniesienia nie pozwalają wiarygodnie policzyć zainfekowanych urządzeń. Badacze opisują też panel do obsługi ruchu oznaczony rosyjskimi elementami. Taki szczegół sam w sobie nie ustala tożsamości ani miejsca działania sprawców i nie uzasadnia przypisania kampanii konkretnej grupie. 31

Dlaczego third-party.com to osobny przypadek

Domena third-party.com bywa używana w dokumentacji programistycznej i przykładach kodu jako zastępczy adres zewnętrznej strony. BleepingComputer podał, że użytkownikom Windows wyświetlała fałszywą weryfikację Cloudflare, próbując nakłonić ich do uruchomienia polecenia PowerShell. Inni odwiedzający mogli zobaczyć niegroźną stronę-wabik. To oznacza, że przykładowy adres pozostawiony w dokumentacji może zaprowadzić czytelnika do działającej przynęty, a różny widok strony utrudnia jej rozpoznanie. 54

W tym przypadku opisywane jest polecenie PowerShell, a nie łańcuch instalacji przez msiexec znany z kampanii Psychedelic. Przytoczone źródła nie potwierdzają wspólnego sprawcy ani tego samego malware. Wejście na domenę nie dowodzi również, że odwiedzający wykonał polecenie. 531

ClickFix może oznaczać także trwały dostęp

W jeszcze innym łańcuchu ClickFix firma Blackpoint Cyber wykryła dwa narzędzia dostarczane razem: RemotePanel, zapewniający utrzymujący się dostęp zdalny, oraz BoundSiphon, nastawiony na kradzież danych uwierzytelniających i danych związanych z kryptowalutami. Pokazuje to, że przy incydencie ClickFix nie należy zakładać wyłącznie jednorazowej kradzieży haseł — możliwa jest także dalsza kontrola nad urządzeniem. Ustalenia Blackpoint nie łączą tej pary narzędzi z Psychedelic ani z third-party.com. 19

Co powinien zrobić zespół bezpieczeństwa

• Uprzedzić użytkowników: test CAPTCHA lub kontrola bezpieczeństwa prosząca o wklejenie polecenia do okna Uruchom bądź PowerShella to sygnał ostrzegawczy, nie normalny etap weryfikacji. 1540
• Sprawdzić, czy polecenie zostało wykonane: po podejrzanej wizycie szukać nieoczekiwanych uruchomień msiexec, pobrań instalatorów i uruchomień PowerShella. Rozróżnić wyświetlenie przynęty od faktycznego wykonania polecenia ze schowka. 315
• Ocenić skutki: przy podejrzeniu uruchomienia Psychedelic zbadać narażenie haseł, tokenów i danych portfeli oraz sprawdzić mechanizmy utrzymywania się malware. Przy innym ładunku ClickFix uwzględnić możliwość zdalnego dostępu. 319
• Usunąć źródła ekspozycji: kontrolować strony pod kątem wstrzykniętych treści, a w dokumentacji i testach zastępować aktywne domeny używane jako przykłady adresami pozostającymi pod kontrolą organizacji. 315