Como esta campanha ClickFix leva ao Redline Stealer

Resumo Executivo

A Okta Threat Intelligence observou uma ameaça cibernética em evolução que utiliza páginas CAPTCHA enganosas para distribuir uma variedade de cargas maliciosas.

Essas campanhas, frequentemente chamadas de "ClickFix" ou "Prove Que Você É Humano", exploram a confiança do usuário e os instintos de resolução de problemas para contornar as medidas de segurança convencionais.

Os ataques ClickFix geralmente começam com *malvertising* (usuários são induzidos a clicar em resultados de pesquisa pagos) ou links em e-mails de *phishing*, qualquer um dos quais redireciona um usuário para sites que se passam por marcas conhecidas.

Os ataques tentam manipular os usuários para que executem comandos maliciosos, imitando verificações de segurança legítimas. Um usuário que executa esses comandos permite o comprometimento do sistema, o roubo de dados e a entrega de malware ao dispositivo do usuário final.

A Okta Threat Intelligence identificou e analisou uma campanha ClickFix com o objetivo de atingir marcas da Okta que utiliza páginas de verificação CAPTCHA enganosas. A Okta enviou solicitações de remoção, quando apropriado, e relatou outros domínios suspeitos (consulte Indicadores de Comprometimento no Apêndice A) a vários serviços de reputação de terceiros.

O objetivo principal das campanhas ClickFix é entregar um de vários malwares de roubo de credenciais e Trojans de Acesso Remoto (RATs). Essas famílias de malware são projetadas para coletar informações confidenciais, incluindo credenciais, dados da web e detalhes de carteiras de criptomoedas salvas em um dispositivo do usuário, permitindo fraude financeira e acesso não autorizado a sistemas comprometidos.

A Okta Threat Intelligence avalia que a diversidade de famílias de malware sendo implementadas pelos sites de phishing ClickFix indica que essas campanhas fazem parte de um ecossistema de “Crime-As-A-Service” (CaaS). Nesses mercados, os invasores pagam a um serviço de terceiros para entregar o malware de sua escolha às vítimas (cada vítima referida como um “load”), em vez de o serviço atuar exclusivamente para um “gangue” de malware específico que implementa uma única variante de malware.

A crescente sofisticação desses ataques, incluindo sua promoção em fóruns clandestinos e a reutilização de infraestrutura maliciosa, destaca a necessidade de maior conscientização do usuário e uma capacidade de responder rapidamente a dispositivos comprometidos.

Análise de Ameaças

Engenharia Social para Acesso Inicial

As campanhas ClickFix dependem da interação humana para ignorar as medidas de segurança automatizadas. A cadeia de ataque normalmente se desenrola em vários estágios distintos:

O comprometimento geralmente começa com anúncios maliciosos em mecanismos de busca que atraem usuários desavisados.

Por exemplo, uma consulta de pesquisa por uma ferramenta ou pelo portal de RH de uma organização pode exibir um anúncio patrocinado que leva a um site malicioso.

Resposta a Ameaças

O que estamos fazendo
Estamos ativamente engajados nas seguintes atividades para mitigar esta ameaça:

• Monitoramento contínuo de domínios de phishing recém-registrados e infraestrutura associada a campanhas ClickFix que imitam marcas Okta.
• Apresentar proativamente relatórios de abuso a registradores e provedores de hospedagem relevantes para iniciar solicitações de remoção de sites maliciosos identificados.
• Fornecer orientação e assistência às organizações para aprimorar a segurança de seus ambientes Okta e investigar qualquer atividade suspeita relacionada a contas potencialmente comprometidas.

Controles Protetivos

Recomendações para clientes

• Restrinja o acesso a aplicativos confidenciais a dispositivos gerenciados por ferramentas de gerenciamento de endpoint e protegidos por ferramentas de segurança de endpoint. Recomendamos também avaliar a gama de detecções de higiene adicionais disponíveis para dispositivos MacOS utilizando o Okta Advanced Posture Checks (atualmente em Acesso Antecipado). Para acesso a aplicativos menos confidenciais, exija dispositivos registrados (usando Okta FastPass) que exibam indicadores de higiene básica.
• Implemente controles de detecção de perímetro (e-mail e filtragem da web) que impeçam o acesso do usuário a sites maliciosos conhecidos.
• Administradores do Windows devem considerar permitir a execução de scripts PowerShell confiáveis e assinados digitalmente em dispositivos de usuário final e negar todos os outros.
• Se estiver usando uma solução de navegador isolada/gerenciada, explore a viabilidade de restringir a cópia e colagem de conteúdo do navegador para aplicativos específicos (como a área de transferência ou ferramentas de linha de comando).
• Inscreva usuários em autenticadores resistentes a phishing e aplique a resistência a phishing na política. As políticas de autenticação da Okta também podem ser usadas para restringir o acesso a contas de usuário com base em uma variedade de pré-requisitos configuráveis pelo cliente. Negue ou exija maior garantia para solicitações de redes raramente usadas ou quando as solicitações de acesso a aplicativos se desviam de padrões de atividade de usuário estabelecidos anteriormente.
• Treine os usuários para identificar indicadores de e-mails suspeitos, sites de phishing e técnicas comuns de engenharia social, como ataques ClickFix. Certifique-se de que eles entendam o que é esperado das respostas CAPTCHA ou atualizações do navegador e fiquem atentos a mensagens que os instruam a executar etapas manuais incomuns usando ferramentas do sistema (Terminal, PowerShell etc.). Facilite para os usuários relatarem possíveis problemas, configurando Notificações para o Usuário Final e Relatórios de Atividade Suspeita.

Observando e respondendo à infraestrutura de phishing:

• Analise os logs de aplicativos (logs Okta, proxies da web, sistemas de e-mail, servidores DNS, firewalls) em busca de qualquer evidência de comunicação com esses domínios suspeitos.
• Monitore os domínios regularmente para verificar se o Índice muda.
• Se o conteúdo hospedado no domínio violar direitos autorais ou marcas legais, considere fornecer evidências e emitir uma solicitação de remoção junto ao registrador de domínio e/ou provedor de hospedagem na web.

Apêndice A: Indicadores de Comprometimento

Esta é uma investigação em andamento, e IOCs adicionais podem ser identificados à medida que a campanha evolui. As organizações são aconselhadas a permanecer vigilantes e implementar as estratégias de mitigação recomendadas. Abaixo estão os IOCs observados.