O ClickFix e o EtherHiding combinam a execução de comandos por iniciativa do utilizador com uma configuração baseada em blockchain. O ClickFix induz o utilizador a executar um comando, enquanto o EtherHiding permite que os atacantes orientem as fases posteriores através de contratos inteligentes públicos. Em conjunto, criam uma via de execução que desafia a deteção baseada em indicadores e os métodos convencionais de neutralização.
Principais conclusões
- O ClickFix transforma os fluxos de trabalho habituais de verificação e resolução de problemas em percursos para comandos executados pelo utilizador
- O EtherHiding separa a infraestrutura de entrega descartável de uma camada de configuração mais persistente
- O bloqueio de um domínio conhecido não revela nem desativa o mecanismo que orienta a fase seguinte
- As equipas SOC precisam de interligar as provas disponíveis em várias ferramentas e equipas
- Os sites comprometidos podem fazer com que as instruções maliciosas pareçam provir de um recurso digital de confiança
- A investigação do FileScan.io Threat Labs mostra como os investigadores identificaram estas relações numa cadeia em tempo real
O que distingue o ClickFix do phishing convencional?
O ClickFix é uma técnica de engenharia social que instrui os utilizadores a copiar, colar ou executar um comando sob o pretexto de preencher um CAPTCHA, resolver um problema no navegador, abrir um documento ou resolver um problema de acesso.
O MITRE ATT&CK classifica o ClickFix como «Cópia e colagem maliciosa», T1204.004. A técnica baseia-se no facto de os utilizadores colocarem código fornecido pelo atacante diretamente numa interface de comandos ou de scripts, em vez de abrirem um anexo malicioso convencional.
A interação pode assemelhar-se à resolução normal de problemas. Solicitações de verificação, erros do navegador e verificações de acesso são comuns na Internet, proporcionando aos atacantes um fluxo de trabalho familiar que podem imitar. Para os defensores, o primeiro sinal útil é, muitas vezes, comportamental. Uma sessão do navegador seguida da execução de comandos invulgares pode ser mais relevante do que a presença de um ficheiro malicioso conhecido.
Como o EtherHiding altera o problema da infraestrutura
O EtherHiding utiliza contratos inteligentes de blockchain para armazenar ou recuperar configurações controladas pelo atacante. Isto separa a infraestrutura visível para a vítima do mecanismo que indica à campanha qual o próximo passo a seguir. Os defensores podem desativar um domínio ou uma conta de alojamento, mas a cadeia em geral mantém-se viável desde que a sua camada de configuração consiga direcionar o tráfego para uma infraestrutura de substituição.
A nossa investigação do FileScan.io Threat Labs rastreou uma cadeia ativa do ClickFix através de um script injetado, um contrato inteligente da Polygon e a infraestrutura à qual este se ligava durante a investigação. O relatório da investigação descreve os artefactos, os pontos de pivô, o processo de validação e as relações que estabeleceram essa ligação.
Os defensores enfrentam mais do que um conjunto de domínios maliciosos de curta duração. Precisam de identificar as relações persistentes por trás de uma infraestrutura concebida para parecer descartável.
Por que razão as equipas de segurança e de engenharia devem preocupar-se com isto?
O ClickFix e o EtherHiding criam um problema de visibilidade que pode ultrapassar as fronteiras organizacionais. A equipa da Web deteta um script não autorizado, a segurança dos terminais assinala um comando invulgar, as ferramentas de rede registam o tráfego de saída e a inteligência de ameaças reconhece apenas uma parte da infraestrutura. Cada sinal, por si só, parece incompleto.
Profissionais de SOC
Os analistas de SOC e os caçadores de ameaças precisam de contexto suficiente para distinguir um evento suspeito isolado de uma etapa de uma cadeia mais ampla. O desafio não consiste simplesmente em encontrar mais um indicador, mas sim em estabelecer ligações entre as atividades que surgem em navegadores, terminais, redes, identidades e infraestruturas públicas.
Os responsáveis do SOC também enfrentam um problema de coordenação. É possível que equipas distintas tenham acesso a diferentes partes das provas, pelo que é importante estabelecer prazos comuns e definir claramente as responsabilidades durante a investigação.
Software engenheiros e equipas web
Software e as equipas web são importantes porque os recursos digitais legítimos podem tornar-se canais de distribuição. Sites comprometidos, scripts injetados e acesso administrativo utilizado indevidamente podem introduzir instruções maliciosas num ambiente em que os utilizadores já confiam.
A telemetria da Web pode, por conseguinte, constituir-se em prova de segurança. O histórico de versões, os registos de implementação, os alertas de integridade do conteúdo e os registos administrativos ajudam a determinar quando surge conteúdo suspeito e qual a sua relação com a atividade dos terminais.
Quais são as organizações que enfrentam consequências mais graves?
O ClickFix não se limita a um único setor, uma vez que se baseia no comportamento dos utilizadores e não numa tecnologia específica de um determinado setor. As consequências são mais graves para as organizações que detêm credenciais valiosas, prestam serviços digitais direcionados aos clientes, gerem informações confidenciais ou têm pouca tolerância a perturbações.
Isto inclui operadores de infraestruturas críticas, agências governamentais, organizações reguladas, fornecedores de software, prestadores de serviços geridos e empresas com equipas de trabalho numerosas ou distribuídas. Nestes setores, uma identidade, um terminal ou um site de confiança comprometidos podem perturbar as operações, e não apenas os dados.
Tipos de danos que uma campanha ClickFix pode causar
O ClickFix é uma técnica de entrega, pelo que o impacto final depende da carga útil e do acesso disponível no dispositivo afetado. Num artigo recente do blogue, documentámos cargas úteis do ClickFix que vão desde programas de roubo de informações até ransomware que afeta toda a rede, e explicámos como a rápida adoção desta técnica por parte de Estados-nação tem dificultado a triagem por parte das equipas de SOC.
A nossa investigação específica sobre o FileScan.io centrou-se no mecanismo de distribuição. Não atribuiu a responsabilidade pela carga útil final. A investigação não demonstra, portanto, que a cadeia rastreada tenha causado ransomware, fraude, roubo de credenciais ou qualquer outro resultado específico. Essa distinção é importante. A investigação mostra como é possível reconstruir uma cadeia de distribuição, mesmo quando a sua infraestrutura visível sofre alterações.
Três lacunas de visibilidade que as defesas habituais não detectam
O ClickFix e o EtherHiding distribuem o ataque pelo comportamento humano, pelas ferramentas legítimas do sistema, pelo conteúdo da Web, pela infraestrutura pública e pela alteração dos destinos.
Destacam-se três lacunas em matéria de visibilidade:
- A atividade do utilizador pode assemelhar-se a uma resolução legítima de problemas. O utilizador pode abrir voluntariamente uma interface de comandos e executar a instrução fornecida.
- A infraestrutura visível pode ser substituída. Um domínio bloqueado pode representar apenas um componente temporário da cadeia.
- As ferramentas de segurança contêm provas desconexas. Os eventos relacionados com o navegador, os processos, a rede, a identidade e os sítios Web podem acabar por ficar em sistemas distintos.
O que traz de novo a investigação do FileScan.io?
A nossa investigação do FileScan.io Threat Labs vai além da descrição geral do ClickFix e do EtherHiding. Documenta a forma como os investigadores passaram de um isco ativo para a infraestrutura e a atividade na blockchain a ela associada.
A análise completa abrange:
- Uma chamada em tempo real da blockchain, efetuada e gravada em tempo real, que acompanha a cadeia até ao destino para o qual foi encaminhada no momento da investigação
- Mais de uma dúzia de contratos inteligentes relacionados, associados a duas carteiras distintas, e o que esse padrão sugere sobre a forma como o operador gere isto
- Uma isca que se fazia passar por uma marca de IA bem conhecida e que não tinha sido documentada publicamente antes desta investigação
- Dois investigadores independentes que chegaram à mesma carteira e ao mesmo contrato por vias totalmente distintas
Leia o relatório técnico completo e as provas que relacionaram as suas partes constituintes.
Perguntas mais frequentes
O que é o ClickFix?
O ClickFix é uma técnica de engenharia social que leva os utilizadores a copiar, colar ou executar um comando malicioso como parte de uma suposta correção, etapa de verificação ou requisito de acesso. É o próprio utilizador que inicia a execução, o que pode fazer com que o evento de abertura pareça diferente do que acontece com um anexo malicioso convencional.
O que é o EtherHiding?
O EtherHiding é uma técnica que utiliza contratos inteligentes da blockchain para armazenar ou recuperar configurações controladas pelo atacante. Isto pode proporcionar a uma campanha um ponto de referência persistente, mesmo que os seus domínios e servidores visíveis sejam alterados.
Por que razão a rotação da infraestrutura pode complicar a deteção?
A rotação da infraestrutura pode fazer com que os indicadores individuais percam a validade rapidamente. Os defensores podem bloquear um destino sem identificar a relação ou o mecanismo de configuração que direciona a campanha para o seu substituto.
A investigação da FileScan.io identificou o malware em questão?
Não. A investigação centrou-se no rastreio e na validação do mecanismo de entrega. Os investigadores não afirmaram ter determinado a origem da carga útil final.
Quantos contratos relacionados é que os investigadores encontraram e o que é que estes revelam sobre o operador?
Mais de uma dúzia; o suficiente para mostrar até que ponto a infraestrutura deste operador se estende para além do único contrato que identificámos. A análise completa, incluindo a atribuição ao nível das carteiras, encontra-se no artigo do FileScan.io Threat Labs.
