Comment cette campagne ClickFix mène à Redline Stealer

Résumé

Okta Threat Intelligence a observé une cybermenace en évolution qui exploite des pages CAPTCHA trompeuses pour distribuer une gamme de charges malveillantes.

Ces campagnes, souvent appelées campagnes "ClickFix" ou "Prouvez que vous êtes un humain", exploitent la confiance des utilisateurs et leur instinct de résolution de problèmes pour contourner les mesures de sécurité classiques.

Les attaques ClickFix commencent généralement par du malvertising (les utilisateurs sont amenés à cliquer sur des résultats de recherche payants) ou des liens dans des e-mails de phishing, qui redirigent tous deux un utilisateur vers des sites web qui se font passer pour des marques connues.

Les attaques tentent de manipuler les utilisateurs afin qu'ils exécutent des commandes malveillantes en imitant des contrôles de sécurité légitimes. Un utilisateur qui exécute ces commandes permet la compromission du système, le vol de données et la livraison de malware au terminal de l'utilisateur final.

Okta Threat Intelligence a identifié et analysé une campagne ClickFix ciblant les marques Okta qui exploite des pages de vérification CAPTCHA trompeuses. Okta a soumis des demandes de suppression, le cas échéant, et a signalé d'autres domaines suspects (voir les indicateurs de compromission dans l'annexe A) à divers services de réputation tiers.

L'objectif principal des campagnes ClickFix est de distribuer divers malware voleurs d'identifiants et des chevaux de Troie d'accès à distance (RAT). Ces familles de malware sont conçues pour collecter des informations sensibles, notamment les identifiants, les données web et les détails des portefeuilles de cryptomonnaies enregistrés sur un terminal utilisateur, ce qui permet de commettre des fraudes financières et d'accéder sans autorisation aux systèmes compromis.

Okta Threat Intelligence estime que la diversité des familles de malware déployées par les sites de phishing ClickFix indique que ces campagnes font partie d’un écosystème « Crime-As-A-Service » (CaaS). Sur ces marchés, les attaquants paient un service tiers pour livrer le malware de leur choix aux victimes (chaque victime étant appelée « charge »), plutôt que le service agissant exclusivement pour un « gang » de malware spécifique qui déploie une seule variante de malware.

La sophistication croissante de ces attaques, y compris leur promotion sur les forums clandestins et la réutilisation d'une infrastructure malveillante, souligne la nécessité d'une sensibilisation accrue des utilisateurs et d'une capacité à réagir rapidement aux terminaux compromis.

Analyse des menaces

social engineering pour l'accès initial

Les campagnes ClickFix reposent sur l'interaction humaine pour contourner les mesures de sécurité automatisées. La chaîne d'attaque se déroule généralement en plusieurs étapes distinctes :

La compromission commence souvent par des publicités malveillantes sur les moteurs de recherche qui attirent des utilisateurs peu méfiants.

Par exemple, une requête de recherche pour un outil ou le portail RH d'une organisation peut afficher une annonce sponsorisée menant à un site malveillant.

Réponse aux Menaces

Ce que nous faisons
Nous sommes activement engagés dans les activités suivantes pour atténuer cette menace :

• Surveillance continue des nouveaux domaines de phishing enregistrés et de l'infrastructure associée aux campagnes ClickFix qui imitent les marques Okta.
• Dépôt proactif de signalements d’abus auprès des registraires et des fournisseurs d’hébergement concernés afin de lancer des demandes de retrait pour les sites malveillants identifiés.
• Fournir des conseils et une assistance aux organisations afin d'améliorer la sécurité de leurs environnements Okta et d'enquêter sur toute activité suspecte liée à des comptes potentiellement compromis.

Contrôles de protection

Recommandations pour les clients

• Restreindre l'accès aux applications sensibles aux terminaux gérés par les outils de gestion des terminaux et protégés par les outils de sécurité des terminaux. Nous recommandons également d'évaluer la gamme de détections d'hygiène supplémentaires disponibles pour les terminaux MacOS à l'aide des Okta Advanced Posture Checks (actuellement en Early Access). Pour l’accès aux applications moins sensibles, exiger les terminaux enregistrés (à l’aide d’Okta FastPass) qui présentent des indicateurs d’hygiène de base.
• Mettre en œuvre des contrôles de détection de périmètre (filtrage des e-mails et du web) qui empêchent l'accès des utilisateurs aux sites malveillants connus.
• Les administrateurs Windows devraient envisager d'autoriser l'exécution de scripts PowerShell de confiance, signés numériquement, sur les terminaux des utilisateurs finaux et de refuser tous les autres.
• Si vous utilisez une solution de navigateur isolé/géré, étudiez la possibilité de restreindre la copie et le collage de contenu du navigateur vers des applications spécifiques (telles que le presse-papiers ou les outils de ligne de commande).
• Inscrivez les utilisateurs à des authentificateurs résistants au phishing et appliquez la résistance au phishing dans la politique. Les politiques d'authentification Okta peuvent également être utilisées pour restreindre l'accès aux comptes d'utilisateurs en fonction d'un éventail de conditions préalables configurables par le client. Refusez ou exigez un niveau d'assurance plus élevé pour les demandes provenant de réseaux rarement utilisés ou lorsque les demandes d'accès aux applications s'écartent des modèles d'activité utilisateur établis précédemment.
• Formez les utilisateurs à identifier les indicateurs d'e-mails suspects, de sites de phishing et de techniques de social engineering courantes telles que les attaques ClickFix. Assurez-vous qu'ils comprennent ce que l'on attend des réponses CAPTCHA ou des mises à jour du navigateur, et qu'ils se méfient des messages leur demandant d'effectuer des étapes manuelles inhabituelles à l'aide des outils système (Terminal, PowerShell, etc.). Facilitez le signalement des problèmes potentiels par les utilisateurs en configurant les Notifications aux utilisateurs finaux et le Signalement d'activités suspectes.

Observation et réponse à l’infrastructure de phishing :

• Examiner les journaux d'application (journaux Okta, proxies web, systèmes de messagerie, serveurs DNS, pare-feu) pour détecter toute preuve de communication avec de tels domaines suspects.
• Surveillez régulièrement les domaines pour voir si le contenu change.
• Si le contenu hébergé sur le domaine viole le droit d’auteur ou les marques légales, envisagez de fournir des preuves et d’émettre une demande de retrait auprès du registraire de domaine et/ou du fournisseur d’hébergement Web.

Annexe A : Indicateurs de compromission

Il s'agit d'une enquête en cours, et d'autres CIO pourraient être identifiés au fur et à mesure de l'évolution de la campagne. Il est conseillé aux organisations de rester vigilantes et de mettre en œuvre les stratégies d'atténuation recommandées. Vous trouverez ci-dessous les COI observés.