Microsoft: Warnung vor ClickFix-Angriffen, die DNS-Lookups ausnutzen
Angreifer nutzen DNS-Anfragen, um eine RAT namens ModeloRAT an bestimmte Benutzer zu übertragen.
Microsoft hat Benutzer gewarnt, dass Angreifer eine neue Variante der ClickFix-Technik nutzen, um Malware zu verbreiten.
Die ClickFix-Angriffsmethode wurde im vergangenen Jahr sowohl von Cyberkriminellen als auch von staatlich geförderten Hackergruppen zunehmend eingesetzt.
Bei diesem Angriff zeigen Angreifer eine gefälschte Fehlermeldung auf einer kompromittierten oder betrügerischen Webseite an. Die Meldung weist das Ziel an, das Problem durch Drücken bestimmter Tasten und anschließende Ausführung weiterer Schritte (z. B. Ausführen eines Befehls) zu beheben. Durch Befolgen der Anweisungen des Angreifers gewährt der Benutzer unwissentlich erweiterte Berechtigungen, lädt Malware herunter oder führt vom Angreifer bereitgestellte Skripte aus.
Bei einem kürzlich von Microsoft beobachteten ClickFix-Angriff forderte der Angreifer die Opfer auf, einen Befehl auszuführen, der eine benutzerdefinierte DNS-Abfrage durchführt.
Der erste Befehl wird über cmd.exe ausgeführt und führt eine DNS-Abfrage bei einem fest codierten externen DNS-Server statt beim Standard-Resolver des Systems durch. Die Ausgabe wird gefiltert, um die DNS-Antwort "Name:" zu extrahieren, die als Payload der zweiten Stufe ausgeführt wird.
Diese Taktik ermöglicht es dem Angreifer, seine Infrastruktur zu erweitern und die Ausführung der Payload der zweiten Stufe zu validieren, wodurch sich seine Chancen erhöhen, der Erkennung zu entgehen, indem er bösartigen Datenverkehr in den regulären Netzwerkverkehr einbindet.
Die Payload der zweiten Stufe lädt ein bösartiges Python-Skript herunter, das für die Aufklärung entwickelt wurde, und führt es aus. Anschließend wird die endgültige Payload abgelegt und ein Persistenzmechanismus eingesetzt.
Die endgültige Payload ist ein Fernzugriffstrojaner namens ModeloRAT, mit dem Angreifer Informationen über das kompromittierte System sammeln und andere Payloads ausführen können.
Während Microsoft keine Informationen zu den Angriffen veröffentlicht hat, berichtete Huntress kürzlich, dass ein als KongTuke verfolgter Bedrohungsakteur ModeloRAT über eine ClickFix-Variante namens CrashFix eingesetzt habe. Die Kampagne richtete sich gegen Unternehmensumgebungen.