ClickFix ed EtherHiding combinano l'esecuzione di comandi guidata dall'utente con una configurazione basata sulla blockchain. ClickFix induce l'utente a eseguire un comando, mentre EtherHiding consente agli autori degli attacchi di gestire le fasi successive tramite smart contract pubblici. Insieme, creano un percorso di distribuzione che mette a dura prova i sistemi di rilevamento basati su indicatori e i metodi convenzionali di neutralizzazione.
Punti di forza
- ClickFix trasforma i consueti flussi di lavoro di verifica e risoluzione dei problemi in percorsi per i comandi eseguiti dall'utente
- EtherHiding separa l'infrastruttura di distribuzione usa e getta da un livello di configurazione più permanente
- Il blocco di un dominio noto non rivela né disattiva il meccanismo che determina la fase successiva
- I team SOC devono integrare le informazioni disponibili su diversi strumenti e tra diversi team
- I siti web compromessi possono far sembrare che le istruzioni dannose provengano da una risorsa digitale affidabile
- L'indagine condotta da FileScan.io Threat Labs mostra come i ricercatori abbiano ricostruito queste relazioni all'interno di una catena in tempo reale
Cosa distingue ClickFix dal phishing tradizionale?
ClickFix è una tecnica di ingegneria sociale che induce gli utenti a copiare, incollare o eseguire un comando con il pretesto di completare un CAPTCHA, risolvere un problema del browser, aprire un documento o risolvere un problema di accesso.
MITRE ATT&CK classifica ClickFix come “Copia e incolla dannoso” (T1204.004). La tecnica si basa sul fatto che gli utenti inseriscano il codice fornito dall’autore dell’attacco direttamente in un’interfaccia di comando o di scripting, anziché aprire un allegato dannoso convenzionale.
L'interazione può assomigliare alla normale procedura di risoluzione dei problemi. Richieste di verifica, errori del browser e controlli di accesso sono comuni in rete, offrendo agli autori degli attacchi un flusso di lavoro familiare da imitare. Per chi si occupa della difesa, il primo segnale utile è spesso di natura comportamentale. Una sessione del browser seguita dall'esecuzione di comandi insoliti può essere più significativa della presenza di un file dannoso ben noto.
In che modo EtherHiding risolve il problema dell'infrastruttura
EtherHiding utilizza gli smart contract della blockchain per memorizzare o restituire configurazioni controllate dall'autore dell'attacco. Ciò separa l'infrastruttura visibile alla vittima dal meccanismo che indica alla campagna quale sia la mossa successiva. I difensori possono disattivare un dominio o un account di hosting, ma la catena nel suo complesso rimane operativa fintanto che il suo livello di configurazione è in grado di indirizzare il traffico verso un'infrastruttura sostitutiva.
L'indagine condotta dal nostro Threat Labs di FileScan.io ha tracciato una catena ClickFix attiva attraverso uno script iniettato, uno smart contract Polygon e l'infrastruttura a cui si collegava durante la ricerca. Il rapporto di indagine descrive gli artefatti, i punti di collegamento, il processo di convalida e le relazioni che hanno permesso di stabilire tale connessione.
I responsabili della sicurezza non hanno a che fare solo con un insieme di domini dannosi di breve durata. Devono identificare le relazioni persistenti che si celano dietro un’infrastruttura progettata per sembrare usa e getta.
Perché i team di sicurezza e di ingegneria dovrebbero interessarsene?
ClickFix ed EtherHiding creano un problema di visibilità che può superare i confini organizzativi. Il team web individua uno script non autorizzato, la sicurezza degli endpoint segnala un comando insolito, gli strumenti di rete registrano il traffico in uscita e la threat intelligence riconosce solo una parte dell’infrastruttura. Ogni segnale, preso singolarmente, appare incompleto.
Professionisti SOC
Gli analisti SOC e i “threat hunter” hanno bisogno di un contesto adeguato per distinguere un evento sospetto isolato da una fase di una catena più ampia. La sfida non consiste semplicemente nell’individuare un altro indicatore, ma nel collegare le attività che si manifestano su browser, endpoint, reti, identità e infrastrutture pubbliche.
I responsabili del SOC devono inoltre affrontare un problema di coordinamento. È possibile che team distinti dispongano di parti diverse delle prove, il che rende fondamentale, durante le indagini, definire tempistiche condivise e attribuire chiaramente le responsabilità.
Software ingegneri e team web
Software e i team web sono fondamentali perché le risorse digitali legittime possono diventare canali di distribuzione. Siti web compromessi, script iniettati e accessi amministrativi utilizzati in modo improprio possono introdurre istruzioni dannose all’interno di un ambiente di cui gli utenti già si fidano.
La telemetria web può quindi costituire una prova ai fini della sicurezza. La cronologia delle versioni, i registri di distribuzione, gli avvisi relativi all'integrità dei contenuti e i log amministrativi aiutano a stabilire quando compaiono contenuti sospetti e in che modo questi siano correlati all'attività degli endpoint.
Quali organizzazioni devono affrontare conseguenze più gravi?
ClickFix non si limita a un unico settore, poiché sfrutta il comportamento degli utenti piuttosto che una tecnologia specifica del settore. Le conseguenze sono più gravi per le organizzazioni che detengono credenziali di valore, gestiscono servizi digitali rivolti ai clienti, trattano informazioni sensibili o hanno scarsa tolleranza alle interruzioni del servizio.
Tra questi figurano gli operatori di infrastrutture critiche, le agenzie governative, le organizzazioni soggette a regolamentazione, i fornitori di software, i fornitori di servizi gestiti e le imprese con una forza lavoro numerosa o distribuita. In questi settori, la compromissione di un’identità, di un endpoint o di un sito web affidabile può compromettere le operazioni, non solo i dati.
Tipi di danni che una campagna ClickFix può causare
ClickFix è una tecnica di distribuzione, pertanto il suo impatto finale dipende dal payload e dalle possibilità di accesso disponibili sul dispositivo colpito. In un recente articolo pubblicato sul nostro blog, abbiamo documentato payload di ClickFix che vanno dagli infostealer ai ransomware che colpiscono l'intera rete, e abbiamo illustrato come la rapida diffusione di questa tecnica da parte degli Stati-nazione abbia reso difficile il triage per i team SOC.
La nostra indagine specifica su FileScan.io si è concentrata sul meccanismo di distribuzione. Non ha attribuito la responsabilità del payload finale. La ricerca, pertanto, non dimostra che la catena tracciata abbia causato attacchi ransomware, frodi, furti di credenziali o altre conseguenze specifiche. Questa distinzione è importante. La ricerca mostra come sia possibile ricostruire una catena di distribuzione anche quando la sua infrastruttura visibile subisce modifiche.
Tre lacune nella visibilità che le difese tradizionali tendono a trascurare
ClickFix ed EtherHiding suddividono l'attacco tra comportamenti umani, strumenti di sistema legittimi, contenuti web, infrastrutture pubbliche e destinazioni mutevoli.
Si evidenziano tre lacune in materia di visibilità:
- L'attività dell'utente può sembrare una normale procedura di risoluzione dei problemi. L'utente potrebbe aprire volontariamente un'interfaccia a riga di comando ed eseguire le istruzioni fornite.
- L'infrastruttura visibile può essere sostituita. Un dominio bloccato può rappresentare solo un elemento temporaneo della catena.
- Gli strumenti di sicurezza conservano prove disgiunte. Gli eventi relativi a browser, processi, rete, identità e siti web possono finire in sistemi distinti.
Cosa apporta l'indagine di FileScan.io?
La nostra ricerca condotta dal FileScan.io Threat Labs va oltre la semplice descrizione generale di ClickFix ed EtherHiding. Essa illustra come i ricercatori siano passati da un’esca attiva all’infrastruttura e all’attività sulla blockchain ad essa collegata.
L'analisi completa tratta i seguenti argomenti:
- Una chiamata blockchain in diretta, effettuata e registrata in tempo reale, che traccia la catena fino alla destinazione a cui era stata indirizzata al momento della ricerca
- Più di una dozzina di smart contract correlati, collegati a due portafogli distinti, e cosa suggerisce questo schema sul modo in cui l’operatore gestisce il tutto
- Un'esca che si spacciava per un noto marchio di intelligenza artificiale e che non era stata documentata pubblicamente prima di questa ricerca
- Due ricercatori indipendenti che sono giunti allo stesso wallet e allo stesso contratto seguendo percorsi del tutto distinti
Leggi la traccia tecnica completa e le prove che hanno permesso di collegare le sue parti in movimento.
Domande frequenti
Che cos’è ClickFix?
ClickFix è una tecnica di ingegneria sociale che induce gli utenti a copiare, incollare o eseguire un comando dannoso nell'ambito di una presunta correzione, fase di verifica o requisito di accesso. È l'utente stesso ad avviare l'esecuzione, il che può far sì che l'evento scatenante appaia diverso rispetto a quello di un allegato dannoso convenzionale.
Che cos’è EtherHiding?
EtherHiding è una tecnica che utilizza gli smart contract della blockchain per memorizzare o restituire configurazioni controllate dall'autore dell'attacco. Ciò può fornire a una campagna un punto di riferimento costante anche quando i suoi domini e server visibili cambiano.
Perché le infrastrutture rotanti possono complicare il rilevamento?
La rotazione delle infrastrutture può far scadere rapidamente i singoli indicatori. I difensori potrebbero bloccare una destinazione senza individuare la relazione o il meccanismo di configurazione che indirizza la campagna verso la sua sostituzione.
L'indagine di FileScan.io ha individuato il malware in questione?
No. L'indagine si è concentrata sul tracciamento e sulla verifica del meccanismo di consegna. I ricercatori non hanno avanzato alcuna ipotesi definitiva sull'attribuzione del carico utile.
Quanti contratti correlati hanno individuato i ricercatori e cosa rivelano riguardo all’operatore?
Più di una dozzina; abbastanza per dimostrare quanto l’infrastruttura di questo operatore si estenda ben oltre il singolo contratto che abbiamo rintracciato. La ripartizione completa, compresa l’attribuzione a livello di wallet, è disponibile nell’articolo di FileScan.io Threat Labs.
