Kampanye baru yang menggunakan serangan clickFix telah terlihat menargetkan sistem Windows dan Linux menggunakan instruksi yang memungkinkan infeksi pada sistem operasi mana pun.
Clickfix adalah a Taktik Rekayasa Sosial di mana sistem verifikasi palsu atau kesalahan aplikasi digunakan untuk menipu pengunjung situs web agar menjalankan perintah konsol yang menginstal malware.
Serangan -serangan ini secara tradisional menargetkan sistem Windows, mendorong target untuk menjalankan skrip PowerShell dari perintah Windows Run, menghasilkan Malware penciuman info infeksi dan bahkan ransomware.
Namun, kampanye 2024 menggunakan kesalahan pertemuan Google Bogus Google pengguna macOS yang ditargetkan.
ClickFix menargetkan pengguna Linux
Kampanye yang lebih baru terlihat oleh Peneliti Hunt.io Minggu lalu adalah salah satu yang pertama mengadaptasi teknik rekayasa sosial ini untuk sistem Linux.
Serangan itu, yang dikaitkan dengan kelompok ancaman terkait Pakistan APT36 (alias “Tribe Tribu”), menggunakan situs web yang menyamar sebagai Kementerian Pertahanan India dengan tautan ke siaran pers resmi yang diduga.
Sumber: Hunt.io
Ketika pengunjung mengklik tautan situs web ini, mereka diprofilkan oleh platform untuk menentukan sistem operasi mereka, dan kemudian dialihkan ke aliran serangan yang benar.
Di Windows, para korban dilayani halaman layar penuh yang memperingatkan mereka tentang hak penggunaan konten terbatas. Mengklik ‘Lanjutkan’ pemicu JavaScript yang menyalin perintah MSHTA berbahaya ke clipboard korban, yang diperintahkan untuk menempel dan menjalankannya di terminal Windows.
Ini meluncurkan loader berbasis .net yang terhubung ke alamat penyerang, sementara pengguna melihat file PDF umpan untuk membuat semuanya tampak sah dan seperti yang diharapkan.
Di Linux, para korban diarahkan ke halaman captcha yang menyalin perintah shell ke clipboard mereka saat mengklik “Saya bukan tombol robot.”
Korban kemudian dipandu untuk menekan Alt+F2 untuk membuka dialog Linux Run, menempelkan perintah ke dalamnya, dan kemudian tekan Memasuki untuk melaksanakannya.
Sumber: Hunt.io
Perintah tersebut menjatuhkan muatan ‘mapeal.sh’ pada sistem target, yang, menurut Hunt.io, tidak melakukan tindakan jahat apa pun dalam versi saat ini, terbatas untuk mengambil gambar JPEG dari server penyerang.
Sumber: BleepingComputer
“Script mengunduh gambar jpeg dari perdagangan4wealth yang sama[.]di direktori dan membukanya di latar belakang, “jelas Hunt.io.
“Tidak ada aktivitas tambahan, seperti mekanisme kegigihan, gerakan lateral, atau komunikasi keluar, yang diamati selama eksekusi.”
Namun, ada kemungkinan bahwa APT36 saat ini sedang bereksperimen untuk menentukan efektivitas rantai infeksi Linux, karena mereka hanya perlu menukar gambar untuk skrip shell untuk menginstal malware atau melakukan aktivitas berbahaya lainnya.
Adaptasi ClickFix untuk melakukan serangan di Linux adalah bukti lain dari keefektifannya, karena jenis serangan sekarang telah digunakan terhadap ketiga platform OS desktop utama.
Sebagai kebijakan umum, pengguna tidak boleh menyalin dan menempelkan perintah apa pun untuk menjalankan dialog tanpa tahu persis apa yang dilakukan perintah tersebut. Melakukannya hanya meningkatkan risiko infeksi malware dan pencurian data sensitif.
