Wie diese ClickFix-Kampagne zu Redline Stealer führt

Zusammenfassung

Okta Threat Intelligence hat eine sich entwickelnde Cyberbedrohung beobachtet, die trügerische CAPTCHA-Seiten nutzt, um eine Reihe schädlicher Payloads zu verteilen.

Diese Kampagnen, oft als „ClickFix“- oder „Beweise, dass Sie ein Mensch sind“-Kampagnen bezeichnet, nutzen das Vertrauen der Benutzer und ihre Problemlösungsinstinkte aus, um herkömmliche Sicherheitsmaßnahmen zu umgehen.

ClickFix-Angriffe beginnen typischerweise mit Malvertising (Benutzer werden dazu verleitet, auf bezahlte Suchergebnisse zu klicken) oder mit Links in Phishing-E-Mails, die einen Benutzer auf Websites umleiten, die bekannte Marken imitieren.

Die Angriffe versuchen, Benutzer zur Ausführung schädlicher Befehle zu bewegen, indem legitime Sicherheitsüberprüfungen imitiert werden. Ein Benutzer, der diese Befehle ausführt, ermöglicht die Kompromittierung des Systems, den Datendiebstahl und die Auslieferung von Malware an das Gerät des Endbenutzers.

Okta Threat Intelligence identifizierte und analysierte eine ClickFix-Kampagne, die auf Okta-Marken abzielt und täuschende CAPTCHA-Verifizierungsseiten nutzt. Okta hat gegebenenfalls Anträge auf Entfernung eingereicht und andere verdächtige Domains (siehe Indicators of Compromise in Anhang A) an verschiedene Reputationsdienste von Drittanbietern gemeldet.

Das Hauptziel von ClickFix-Kampagnen ist die Verbreitung von Malware zum Stehlen von Anmeldedaten und Remote Access Trojanern (RATs). Diese Malware-Familien sind darauf ausgelegt, sensible Informationen zu sammeln, darunter Anmeldedaten, Webdaten und Details zu Krypto-Wallet, die auf einem Benutzergerät gespeichert sind, um Finanzbetrug und unbefugten Zugriff auf kompromittierte Systeme zu ermöglichen.

Okta Threat Intelligence geht davon aus, dass die Vielfalt der von ClickFix-Phishing-Sites eingesetzten Malware-Familien darauf hindeutet, dass diese Kampagnen Teil eines "Crime-As-A-Service"-(CaaS)-Ökosystems sind. In diesen Märkten bezahlen Angreifer einen Drittanbieterdienst, um ihre Malware nach Wahl an Opfer auszuliefern (jedes Opfer wird als "Load" bezeichnet), anstatt dass der Dienst ausschließlich für eine bestimmte Malware-"Gang" tätig ist, die eine einzelne Malware-Variante einsetzt.

Die zunehmende Raffinesse dieser Angriffe, einschließlich ihrer Bewerbung in Untergrundforen und der Wiederverwendung bösartiger Infrastruktur, unterstreicht die Notwendigkeit für ein gesteigertes Benutzerbewusstsein und die Fähigkeit, schnell auf kompromittierte Geräte zu reagieren.

Bedrohungsanalyse

Social Engineering für den ersten Zugriff

ClickFix-Kampagnen sind auf menschliche Interaktion angewiesen, um automatisierte Sicherheitsmaßnahmen zu umgehen. Der Hacking-Angriff entfaltet sich typischerweise in mehreren verschiedenen Phasen:

Die Kompromittierung beginnt oft mit bösartigen Suchmaschinenanzeigen, die ahnungslose Benutzer anlocken.

Beispielsweise könnte eine Suchanfrage nach einem Tool oder dem HR-Portal einer Organisation eine gesponserte Anzeige anzeigen, die zu einer schädlichen Website führt.

Reaktion auf Bedrohungen

Was wir tun
Wir sind aktiv an den folgenden Aktivitäten beteiligt, um diese Bedrohung einzudämmen:

• Kontinuierliche Überwachung auf neu registrierte Phishing-Domains und Infrastruktur im Zusammenhang mit ClickFix-Kampagnen, die Okta-Marken imitieren.
• Proaktives Einreichen von Missbrauchsmeldungen bei relevanten Registraren und Hosting-Providern, um Anträge auf Entfernung identifizierter schädlicher Websites einzuleiten.
• Bereitstellung von Anleitung und Unterstützung für Organisationen, um die Sicherheit ihrer Okta-Umgebungen zu verbessern und verdächtige Aktivitäten im Zusammenhang mit potenziell kompromittierten Konten zu untersuchen.

Schutzkontrollen

Empfehlungen für Kunden

• Beschränken Sie den Zugriff auf sensible Anwendungen auf Geräte, die von Endpoint-Management-Tools verwaltet und durch Endpoint-Security-Tools geschützt werden. Wir empfehlen außerdem, den Umfang der zusätzlichen Hygieneerkennungen für MacOS-Geräte mithilfe von Okta Advanced Posture Checks (derzeit im Early Access) zu bewerten. Fordern Sie für den Zugriff auf weniger sensible Anwendungen registrierte Geräte (mit Okta FastPass) an, die Indikatoren für grundlegende Hygiene aufweisen.
• Implementieren Sie Perimetererkennungskontrollen (E-Mail- und Webfilterung), die den Benutzerzugriff auf bekannte schädliche Websites verhindern.
• Windows-Administratoren sollten in Erwägung ziehen, die Ausführung vertrauenswürdiger, digital signierter PowerShell-Skripts auf Endbenutzergeräten zuzulassen und alle anderen zu verweigern.
• Wenn Sie eine isolierte/verwaltete Browserlösung verwenden, prüfen Sie die Durchführbarkeit, das Kopieren und Einfügen von Inhalten aus dem Browser auf bestimmte Anwendungen (z. B. die Zwischenablage oder Befehlszeilentools) zu beschränken.
• Registrieren Sie Benutzer bei Phishing-resistenten Authentifizierungsfaktoren und erzwingen Sie Phishing-Resistenz in der Richtlinie. Okta-Authentifizierungsrichtlinien können auch verwendet werden, um den Zugriff auf User Accounts basierend auf einer Reihe von vom Kunden konfigurierbaren Voraussetzungen einzuschränken. Verweigern Sie oder fordern Sie ein Höchstmaß an Sicherheit für Anfragen aus selten genutzten Netzwerken an oder wenn Anfragen für den Zugriff auf Anwendungen von zuvor festgelegten Mustern der Benutzeraktivität abweichen.
• Schulen Sie Benutzer, Indikatoren für verdächtige E-Mails, Phishing-Sites und gängige Social-Engineering-Techniken wie ClickFix-Angriffe zu erkennen. Stellen Sie sicher, dass sie verstehen, was von CAPTCHA-Antworten oder Browser-Updates erwartet wird, und dass sie sich vor Nachrichten hüten, die sie anweisen, ungewöhnliche manuelle Schritte mit Systemtools (Terminal, PowerShell usw.) durchzuführen. Erleichtern Sie es Benutzern, potenzielle Probleme zu melden, indem Sie Endbenutzerbenachrichtigungen und Reporting verdächtiger Aktivitäten konfigurieren.

Beobachtung und Reaktion auf Phishing-Infrastruktur:

• Überprüfen Sie die Anwendungsprotokolle (Okta-Protokolle, Webproxys, E-Mail-Systeme, DNS-Server, Firewalls) auf Beweise für die Kommunikation mit solchen verdächtigen Domänen.
• Überwachen Sie die Domains regelmäßig, um zu sehen, ob sich die Inhalte ändern.
• Wenn auf der Domain gehostete Inhalte Urheberrechte oder Schutzmarken verletzen, sollten Sie in Erwägung ziehen, Beweise vorzulegen und eine Entfernungsanfrage beim Domain-Registrar und/oder Webhosting-Provider einzureichen.

Anhang A: Indicators of Compromise

Dies ist eine laufende Untersuchung, und es können zusätzliche IOCs identifiziert werden, während sich die Kampagne weiterentwickelt. Organisationen wird geraten, wachsam zu bleiben und die empfohlenen Strategien zur Risikominderung umzusetzen. Nachfolgend sind die beobachteten IOCs aufgeführt.