ClickFix und EtherHiding kombinieren die benutzergesteuerte Befehlsausführung mit einer Blockchain-basierten Konfiguration. ClickFix veranlasst einen Benutzer dazu, einen Befehl auszuführen, während EtherHiding es Angreifern ermöglicht, spätere Phasen über öffentliche Smart Contracts zu steuern. Zusammen bilden sie einen Übertragungsweg, der die indikatorbasierte Erkennung und herkömmliche Abwehrmethoden vor große Herausforderungen stellt.
Wichtigste Erkenntnisse
- ClickFix wandelt bekannte Arbeitsabläufe zur Überprüfung und Fehlerbehebung in Pfade für vom Benutzer ausgeführte Befehle um
- EtherHiding trennt die temporäre Übertragungsinfrastruktur von einer dauerhafteren Konfigurationsebene.
- Das Blockieren einer bekannten Domain führt nicht dazu, dass der Mechanismus, der die nächste Phase steuert, offengelegt oder deaktiviert wird.
- SOC-Teams müssen die in verschiedenen Tools und Teams vorliegenden Erkenntnisse miteinander verknüpfen
- Durch kompromittierte Websites kann der Anschein erweckt werden, dass bösartige Anweisungen von einer vertrauenswürdigen digitalen Plattform stammen.
- Die Untersuchung von FileScan.io Threat Labs zeigt, wie die Forscher diese Zusammenhänge in einer Live-Kette nachverfolgt haben
Wodurch unterscheidet sich ClickFix von herkömmlichem Phishing?
ClickFix ist eine Social-Engineering-Technik, bei der Nutzer unter dem Vorwand, ein CAPTCHA auszufüllen, ein Browserproblem zu beheben, ein Dokument zu öffnen oder ein Zugriffsproblem zu lösen, dazu aufgefordert werden, etwas zu kopieren, einzufügen oder einen Befehl auszuführen.
MITRE ATT&CK stuft „ClickFix“ als „Malicious Copy and Paste“ (T1204.004) ein. Bei dieser Technik wird darauf gesetzt, dass Benutzer vom Angreifer bereitgestellten Code direkt in eine Befehls- oder Skriptschnittstelle einfügen, anstatt einen herkömmlichen schädlichen Anhang zu öffnen.
Die Interaktion kann einer normalen Fehlerbehebung ähneln. Bestätigungsaufforderungen, Browserfehler und Zugriffsprüfungen sind im Internet weit verbreitet und bieten Angreifern einen vertrauten Ablauf, den sie nachahmen können. Für die Verteidiger ist das früheste aussagekräftige Signal oft verhaltensbezogen. Eine Browsersitzung, auf die die Ausführung ungewöhnlicher Befehle folgt, kann von größerer Bedeutung sein als das Vorhandensein einer bekannten schädlichen Datei.
Wie EtherHiding das Infrastrukturproblem verändert
EtherHiding nutzt Smart Contracts der Blockchain, um vom Angreifer kontrollierte Konfigurationen zu speichern oder zurückzugeben. Dadurch wird die für das Opfer sichtbare Infrastruktur von dem Mechanismus getrennt, der der Kampagne vorgibt, wie es weitergehen soll. Verteidiger können zwar eine Domain oder ein Hosting-Konto lahmlegen, doch die übergeordnete Kette bleibt funktionsfähig, solange ihre Konfigurationsebene den Datenverkehr auf eine Ersatzinfrastruktur umleiten kann.
Im Rahmen unserer Untersuchung bei FileScan.io Threat Labs konnten wir eine aktive ClickFix-Kette über ein eingeschleustes Skript, einen Polygon-Smart-Contract und die Infrastruktur, auf die dieser während der Untersuchung verwies, zurückverfolgen. Der Untersuchungsbericht beschreibt die Artefakte, die Pivots, den Validierungsprozess und die Zusammenhänge, die diese Verbindung belegen.
Sicherheitsverantwortliche haben es nicht nur mit einer Ansammlung kurzlebiger bösartiger Domains zu tun. Sie müssen die dauerhaften Zusammenhänge hinter einer Infrastruktur aufdecken, die so gestaltet ist, dass sie den Anschein erweckt, sie sei nur vorübergehend in Betrieb.
Warum sollte das Sicherheits- und das Entwicklungsteam sich dafür interessieren?
ClickFix und EtherHiding verursachen ein Sichtbarkeitsproblem, das über Organisationsgrenzen hinweg reichen kann. Das Webteam entdeckt ein nicht autorisiertes Skript, die Endpunktsicherheit meldet einen ungewöhnlichen Befehl, Netzwerktools protokollieren ausgehenden Datenverkehr, und die Bedrohungsanalyse erkennt nur einen Teil der Infrastruktur. Jedes Signal für sich genommen erscheint unvollständig.
SOC-Fachkräfte
SOC-Analysten und Threat Hunter benötigen ausreichend Kontext, um ein isoliertes verdächtiges Ereignis von einer einzelnen Phase einer umfassenderen Kette unterscheiden zu können. Die Herausforderung besteht nicht einfach darin, einen weiteren Indikator zu finden, sondern Aktivitäten miteinander zu verknüpfen, die über Browser, Endgeräte, Netzwerke, Identitäten und öffentliche Infrastruktur hinweg auftreten.
Die SOC-Leiter stehen zudem vor einem Koordinationsproblem. Da verschiedene Teams möglicherweise unterschiedliche Teile des Beweismaterials verwahren, sind gemeinsame Zeitpläne und klare Zuständigkeiten während der Ermittlungen von großer Bedeutung.
Software Ingenieure und Web-Teams
Software Und Webteams spielen eine wichtige Rolle, da legitime digitale Plattformen zu Verbreitungskanälen werden können. Kompromittierte Websites, eingeschleuste Skripte und missbrauchte Administratorrechte können dazu führen, dass bösartige Befehle in eine Umgebung eingeschleust werden, der die Nutzer bereits vertrauen.
Web-Telemetrie kann daher als Sicherheitsnachweis dienen. Versionshistorie, Bereitstellungsprotokolle, Warnmeldungen zur Inhaltsintegrität und Verwaltungsprotokolle helfen dabei, festzustellen, wann verdächtige Inhalte auftreten und in welchem Zusammenhang diese mit den Aktivitäten auf den Endgeräten stehen.
Welche Organisationen müssen mit schwerwiegenderen Folgen rechnen?
ClickFix ist nicht auf eine bestimmte Branche beschränkt, da es sich eher das Nutzerverhalten zunutze macht als eine branchenspezifische Technologie. Die Folgen sind für Unternehmen besonders gravierend, die über wertvolle Zugangsdaten verfügen, kundenorientierte digitale Dienste betreiben, sensible Informationen verwalten oder nur wenig Spielraum für Betriebsstörungen haben.
Dazu gehören Betreiber kritischer Infrastrukturen, Behörden, regulierte Organisationen, Softwareanbieter, Managed-Service-Provider sowie Unternehmen mit einer großen oder dezentralen Belegschaft. In diesen Bereichen kann eine kompromittierte Identität, ein kompromittierter Endpunkt oder eine kompromittierte vertrauenswürdige Website nicht nur den Datenverkehr, sondern auch den gesamten Betrieb beeinträchtigen.
Arten von Schäden, die eine ClickFix-Kampagne verursachen kann
ClickFix ist eine Übertragungstechnik, daher hängen die letztendlichen Auswirkungen von der Nutzlast und den Zugriffsmöglichkeiten auf dem betroffenen Gerät ab. In einem kürzlich veröffentlichten Blogartikel haben wir ClickFix-Nutzlasten dokumentiert, die von Infostealern bis hin zu Ransomware mit vollständiger Netzwerkzugriffskontrolle reichen, und dargelegt, wie die rasche Übernahme dieser Technik durch staatliche Akteure es SOC-Teams erschwert hat, eine Triage durchzuführen.
Unsere spezifische Untersuchung zu FileScan.io konzentrierte sich auf den Übertragungsmechanismus. Es wurde kein Anspruch auf die Zuordnung der endgültigen Nutzlast erhoben. Die Untersuchung belegt daher nicht, dass die nachverfolgte Kette zu Ransomware, Betrug, dem Diebstahl von Zugangsdaten oder einem anderen bestimmten Ergebnis geführt hat. Diese Abgrenzung ist wichtig. Die Untersuchung zeigt, wie sich eine Übertragungskette rekonstruieren lässt, selbst wenn sich ihre sichtbare Infrastruktur ändert.
Drei Sichtlücken, die bei gängigen Verteidigungsstrategien übersehen werden
ClickFix und EtherHiding verteilen den Angriff auf menschliches Verhalten, legitime Systemtools, Webinhalte, öffentliche Infrastruktur und wechselnde Ziele.
Drei Informationslücken fallen besonders ins Auge:
- Die Aktivitäten des Benutzers können wie legitime Fehlerbehebung aussehen. Der Benutzer öffnet möglicherweise freiwillig eine Befehlsschnittstelle und führt die angegebene Anweisung aus.
- Sichtbare Infrastruktur lässt sich ersetzen. Eine gesperrte Domain stellt möglicherweise nur eine vorübergehende Komponente der Kette dar.
- Sicherheitstools speichern unzusammenhängende Daten. Ereignisse in Bezug auf Browser, Prozesse, Netzwerk, Identitäten und Websites können in unterschiedlichen Systemen gespeichert werden.
Was bringt die Untersuchung von FileScan.io?
Unsere Untersuchungen im FileScan.io Threat Labs gehen über die allgemeine Beschreibung von ClickFix und EtherHiding hinaus. Sie dokumentieren, wie die Forscher von einem Live-Köder zu der damit verbundenen Infrastruktur und den damit verbundenen Blockchain-Aktivitäten gelangten.
Die vollständige Analyse umfasst:
- Ein Live-Blockchain-Aufruf, der in Echtzeit durchgeführt und aufgezeichnet wurde und die Kette bis zu dem Ziel zurückverfolgt, das zum Zeitpunkt der Untersuchung ermittelt wurde
- Mehr als ein Dutzend miteinander verbundene Smart Contracts, die mit zwei verschiedenen Wallets verknüpft sind, und was dieses Muster darüber aussagt, wie der Betreiber dies betreibt
- Ein Köder, der sich als bekannte KI-Marke ausgab und vor dieser Untersuchung noch nicht öffentlich dokumentiert worden war
- Zwei unabhängige Forscher, die über völlig unterschiedliche Wege zu derselben Wallet und demselben Vertrag gelangt sind
Lesen Sie den vollständigen technischen Ablaufbericht und die Beweise, die die einzelnen Teile miteinander in Verbindung brachten.
Häufig gestellte Fragen
Was ist ClickFix?
ClickFix ist eine Social-Engineering-Technik, bei der Nutzer dazu verleitet werden, einen schädlichen Befehl zu kopieren, einzufügen oder auszuführen – angeblich im Rahmen einer Fehlerbehebung, eines Überprüfungsschritts oder einer Zugangsvoraussetzung. Der Nutzer löst die Ausführung selbst aus, wodurch sich der Auslösevorgang von dem eines herkömmlichen schädlichen Anhangs unterscheiden kann.
Was ist EtherHiding?
EtherHiding ist eine Technik, bei der Smart Contracts auf der Blockchain genutzt werden, um von Angreifern kontrollierte Konfigurationsdaten zu speichern oder abzurufen. Dies kann einer Kampagne einen beständigen Bezugspunkt bieten, während sich ihre sichtbaren Domains und Server ändern.
Warum kann eine sich ändernde Infrastruktur die Erkennung erschweren?
Durch eine rotierende Infrastruktur können einzelne Indikatoren schnell ihre Gültigkeit verlieren. Verteidiger können zwar ein Ziel blockieren, ohne jedoch den Zusammenhang oder den Konfigurationsmechanismus zu erkennen, der die Kampagne auf ein Ersatzziel umleitet.
Hat die Untersuchung von FileScan.io die endgültige Malware identifiziert?
Nein. Im Mittelpunkt der Untersuchung stand die Rückverfolgung und Überprüfung des Übertragungsmechanismus. Die Forscher haben keine Aussage zur Herkunft der eigentlichen Nutzlast getroffen.
Wie viele entsprechende Verträge haben die Forscher gefunden, und was sagen diese über den Betreiber aus?
Mehr als ein Dutzend; genug, um zu zeigen, wie weit sich die Infrastruktur dieses Betreibers über den von uns nachverfolgten einzelnen Vertrag hinaus erstreckt. Die vollständige Aufschlüsselung, einschließlich der Zuordnung auf Wallet-Ebene, findet sich im Artikel von FileScan.io Threat Labs.
