Varian serangan ClickFix telah diamati di mana pelaku ancaman menipu pengguna dengan animasi Pembaruan Windows yang tampak realistis di halaman browser layar penuh dan menyembunyikan kode berbahaya di dalam gambar.
ClickFix merupakan serangan rekayasa sosial yang mana pengguna diyakinkan untuk menempel dan mengeksekusi kode atau perintah pada Command Prompt Windows yang mengakibatkan berjalannya malware pada sistem.
Serangan ini telah diadopsi secara luas oleh penjahat dunia maya di semua tingkatan karena efektivitasnya yang tinggi dan terus berkembang, dengan umpan yang semakin canggih dan menipu.
Halaman browser layar penuh
Halaman browser layar penuh
Sejak 1 Oktober, para peneliti telah mengamati serangan ClickFix yang berpura-pura menjalankan perintah berbahaya dengan menyelesaikan instalasi pembaruan keamanan Windows yang penting dan tipu daya "verifikasi manusia" yang lebih umum [ 1 , 2 ].
Halaman pembaruan palsu tersebut menginstruksikan korban untuk menekan tombol tertentu dalam urutan tertentu, yang menempel dan mengeksekusi perintah dari penyerang yang secara otomatis disalin ke papan klip melalui JavaScript yang berjalan di situs tersebut.
Sebuah laporan dari penyedia layanan keamanan terkelola Huntress mencatat bahwa varian ClickFix baru menghentikan pencuri informasi LummaC2 dan Rhadamanthys.
Sebuah laporan dari penyedia layanan keamanan terkelola Huntress mencatat bahwa varian ClickFix baru menghentikan pencuri informasi LummaC2 dan Rhadamanthys.
Dalam satu varian, peretas menggunakan halaman verifikasi manusia, sementara dalam varian lain, mereka mengandalkan layar Pembaruan Windows palsu.
Namun, dalam kedua kasus tersebut, pelaku ancaman menggunakan steganografi untuk mengkodekan muatan malware akhir di dalam sebuah gambar.
"Daripada sekadar menambahkan data berbahaya ke sebuah berkas, kode berbahaya tersebut dikodekan langsung dalam data piksel gambar PNG, mengandalkan saluran warna tertentu untuk merekonstruksi dan mendekripsi muatan dalam memori," jelas peneliti Huntress .
Pengiriman muatan akhir dimulai dengan menggunakan biner asli Windows mshta untuk mengeksekusi kode JavaScript berbahaya.
Seluruh proses melibatkan beberapa tahap yang menggunakan kode PowerShell dan rakitan .NET (Stego Loader) yang bertanggung jawab untuk merekonstruksi muatan akhir yang tertanam di dalam file PNG dalam keadaan terenkripsi.
Di dalam sumber daya manifes Stego Loader, terdapat gumpalan terenkripsi AES yang sebenarnya merupakan file PNG steganografi berisi shellcode yang direkonstruksi menggunakan kode C# khusus.
Peneliti Huntress memperhatikan bahwa pelaku ancaman menggunakan taktik penghindaran dinamis, yang umumnya disebut sebagai ctrampoline, di mana fungsi titik masuk mulai memanggil 10.000 fungsi kosong.
Shellcode yang memuat sampel infostealer diekstrak dari gambar terenkripsi dan dikemas menggunakan alat Donut yang memungkinkan eksekusi file VBScript, JScript, EXE, DLL, dan rakitan .NET dalam memori.
Shellcode yang memuat sampel infostealer diekstrak dari gambar terenkripsi dan dikemas menggunakan alat Donut yang memungkinkan eksekusi file VBScript, JScript, EXE, DLL, dan rakitan .NET dalam memori.
Setelah membongkar, peneliti Huntress dapat mengambil malware, yang dalam serangan yang dianalisis adalah LummaC2 dan Rhadamanthys.
Varian Rhadamanthys yang menggunakan umpan Windows Update pertama kali ditemukan oleh para peneliti pada bulan Oktober, sebelum Operasi Endgame melumpuhkan sebagian infrastrukturnya pada tanggal 13 November .
Varian Rhadamanthys yang menggunakan umpan Windows Update pertama kali ditemukan oleh para peneliti pada bulan Oktober, sebelum Operasi Endgame melumpuhkan sebagian infrastrukturnya pada tanggal 13 November .
Huntress melaporkan bahwa operasi penegakan hukum mengakibatkan muatan tidak lagi terkirim pada domain Pembaruan Windows palsu, yang masih aktif.
Untuk tetap aman dari serangan ClickFix jenis ini, para peneliti menyarankan untuk menonaktifkan kotak Windows Run dan memantau rangkaian proses yang mencurigakan seperti explorer.exe yang memunculkan mshta.exe atau PowerShell.
Selain itu, saat menyelidiki insiden keamanan siber, analis dapat memeriksa kunci registri RunMRU untuk melihat apakah pengguna memasukkan perintah di kotak Windows Run.
Sumber : https://www.bleepingcomputer.com/news/security/clickfix-attack-uses-fake-windows-update-screen-to-push-malware/
Sumber : https://www.bleepingcomputer.com/news/security/clickfix-attack-uses-fake-windows-update-screen-to-push-malware/