ClickFix trasforma la cache del browser e Esegui di Windows in una scorciatoia di social engineering

Introduzione

Un file che sembra innocuo può comunque essere pericoloso se il vero trucco avviene prima ancora che un utente lo apra. In questa variante di ClickFix, siti web compromessi vengono usati per precaricare uno script malevolo nella cache del browser, mascherarlo da file PNG e indirizzare la vittima verso Esegui di Windows. Il fascino del metodo non sta solo nella sua sofisticazione. Sta nel modo in cui si fonde con il comportamento normale dell'utente.

Fatti rapidi

• I siti web compromessi fanno parte della catena di distribuzione.
• Si segnala che il payload viene predisposto nella cache del browser.
• Il contenuto è mascherato da file PNG.
• Esegui di Windows è il passaggio rivolto all'utente preso di mira dalla tecnica.
• L'estratto non descrive in modo completo la catena di esecuzione end-to-end, la scala o l'ambito interessato.

Corpo

Il valore di sicurezza della cache del browser è di solito la comodità, non la fiducia. È questo che rende questa tecnica degna di attenzione. Se una pagina può precaricare contenuti che in seguito sembrano un normale file immagine, l'attaccante può essere in grado di ridurre i sospetti senza fare affidamento su un prompt di download diretto. In termini di social engineering, questo può essere sufficiente a spingere un utente dalla navigazione passiva all'esecuzione attiva.

La finestra di dialogo Esegui di Windows è anche un obiettivo utile per gli abusi perché è un'interfaccia legittima per avviare comandi. Non deve essere compromessa per offrire un vantaggio a un attaccante. Se una vittima viene convinta che una stringa copiata o un file nella cache sia sicuro, la finestra di dialogo diventa l'ultimo passaggio di una catena che in superficie sembra di routine ma che in realtà non lo è affatto.

Dal punto di vista difensivo, questo schema è importante perché sfuma il confine tra contenuto web ed esecuzione locale. I team di sicurezza spesso si concentrano sui download di eseguibili, ma questo tipo di flusso mostra come gli attaccanti possano provare a spostare il passaggio rischioso in un'azione utente considerata attendibile. La lezione pratica è che le etichette dei tipi di file, il comportamento del browser e gli strumenti integrati di Windows possono tutti confluire in una singola sequenza ingannevole.

La tecnica è descritta come proveniente dal team Microsoft Threat Intelligence, ma il materiale disponibile non stabilisce se lo stesso comportamento funzioni allo stesso modo in ogni browser o ambiente. Inoltre non stabilisce quanto ampiamente sia stato usato il metodo. Per i difensori, questa incertezza è essa stessa il segnale di allarme: l'abuso di un'interfaccia normale può diffondersi più lontano di quanto suggerisca il titolo di una singola campagna.

Conclusione

La lezione più ampia è semplice: gli attaccanti non hanno sempre bisogno di inventare nuovi malware quando possono riutilizzare funzionalità affidabili del browser e di Windows come parte del percorso del payload. Quando una pagina web, un oggetto nella cache e una finestra di dialogo di sistema si allineano nel modo sbagliato, la risposta più sicura non è una fiducia cieca nell'interfaccia. È uno scetticismo verso qualsiasi flusso di lavoro che chieda a un utente di eseguire prima e fare domande dopo.

WIKICROOK

• ClickFix: Un modello di social engineering che spinge la vittima a compiere il passaggio successivo dell'attaccante.
• Cache del browser: Archiviazione locale del browser usata per tenere il contenuto a portata di mano e caricarlo più velocemente.
• Esegui di Windows: Una finestra di dialogo di Windows usata per avviare programmi o comandi inseriti dall'utente.
• Payload malevolo: Codice o contenuto destinato a eseguire l'azione dannosa dell'attaccante.
• PNG: Un formato immagine comune che può essere usato come travestimento per far sembrare innocuo il contenuto.