Microsoft Threat Intelligence: ClickFix-Angreifer nutzen Blockchain-Smart Contracts, um Deaktivierungsmaßnahmen zu umgehen

Microsoft Threat Intelligence hat Ergebnisse einer Untersuchung zu den sich entwickelnden ClickFix-Angriffen veröffentlicht. Diese Angriffe nutzen mittlerweile Blockchain-Infrastruktur und ausgeklügelte Browser-Fingerprinting-Techniken, um groß angelegte Angriffe auf Windows- und macOS-Systeme durchzuführen.

Diese Angriffe auf Windows-Systeme verwenden die EtherHiding-Technik, bei der bösartige Befehle direkt in Smart Contracts auf der BNB Smart Chain gespeichert werden. Angreifer injizieren Base64-codierten JavaScript-Code in kompromittierte Websites, die diese Smart Contracts über einen RPC-Gateway abfragen, um Anweisungen für die nächste Stufe zu erhalten. 

Da die Nutzdaten On-Chain gespeichert sind, können sie nicht mit herkömmlichen Abschaltmaßnahmen oder Blackhole-Methoden entfernt werden – nur der Inhaber der Krypto-Wallet, mit der die Nutzdaten bereitgestellt wurden, kann deren Inhalt ändern. 

Opfer sehen gefälschte CAPTCHAs, die sie dazu verleiten, das Windows-Ausführen-Fenster zu öffnen und von den Angreifern bereitgestellte Befehle einzufügen. Die Ausführungskette missbraucht native Tools wie PowerShell, mshta, rundll32, msiexec und curl und nutzt dabei häufig Techniken wie Caret-Trennung und Umweltvariablen-Verschleierung, um der Erkennung zu entgehen. Microsoft berichtet, dass diese Angriffe weltweit täglich auf Tausende von Unternehmens- und Endkunden-Geräten abzielen und Malware wie Lumma Stealer, Xworm, AsyncRAT und MintsLoader verbreiten. 

Ein einziger erfolgreicher Befall kann Zugangsdaten offenlegen, Persistenz etablieren, laterale Bewegung ermöglichen und Angriffswege für von Menschen gesteuerte Ransomware schaffen.

macOS Operations: Anti-Analyse-Fingerprinting-Hintertür

Unterdessen hat Microsoft eine macOS ClickFix-Gruppe verfolgt, die von der öffentlichen Bereitstellung schädlicher Terminalbefehle dazu übergegangen ist, diese hinter Server-seitigen Browser-Fingerprinting-Mechanismen zu verstecken. Diese Angriffskampagne umfasst mehr als 250 Domains, von denen viele einem algorithmischen Benennungsschema wie „filewordword“ folgen. Beim Besuch dieser Domains sammelt ein leichtgewichtiges JavaScript-Analyseprogramm Browser-Attribute, WebGL-GPU-Signale, Zeitzonenabweichungen und iFrame-Kontexte und sendet diesen Fingerprint dann zur Auswertung an den Server. 

Anfragen, die diese Prüfungen nicht bestehen (zum Beispiel aus Sandboxes, virtuellen Maschinen oder Nicht-macOS-Browsern), erhalten harmlose Lockseiten oder leere Inhalte. Echte macOS-Nutzer hingegen sehen eine gefälschte „Verifizierter Herausgeber“-Downloadseite, die bösartige Terminalbefehle enthält. Dieses Traffic-Distribution-System verbreitet Informationsdiebe wie MacSync und Atomic Stealer, die Schlüsselbunddaten, Browser-Credentials, Krypto-Wallets und SSH-Schlüssel stehlen sollen. 

Die Fingerprinting-Technologie an sich ist nicht neu, aber ihre Integration in die ClickFix-Infrastruktur erschwert automatische Erkennung und Analyse, da bösartige Inhalte nur gefilterten, qualifizierten Opfern bereitgestellt werden.