Descoberta e panorama
Campanhas ClickFix convencem usuários a pressionar Win+R e colar um comando que foi previamente copiado ao clipboard pela página maliciosa. A variante recente usa uma tela em full-screen que imita o instalador/atualizador do Windows para induzir a confiança do usuário e instruí-lo a executar o comando no Run dialog.
Abordagem técnica
O primeiro estágio normalmente lança mshta.exe apontando para uma URL cujo segundo octeto do IP vem hex-encodado. Isso inicia uma cadeia de estágios que baixa PowerShell ofuscado e um loader .NET reflexivo. O diferencial técnico reportado é um loader .NET que não concatena dados ao final de arquivos: em vez disso, ele AES-decripta um recurso PNG embarcado, lê os bytes do bitmap e reconstrói shellcode a partir de um canal de cor específico, aplicando uma rotina XOR customizada para recuperar o payload em memória.
O shellcode reconstruído é empacotado com Donut e injetado em processos como explorer.exe usando código C# compilado dinamicamente e chamadas a APIs Windows (VirtualAllocEx, WriteProcessMemory, CreateRemoteThread).
IoCs e infraestrutura
- IP repetido observado: 141.98.80[.]175.
- Rotas e paths observados: /tick.odd, /gpsc.dat, /one.dat para o estágio inicial de mshta.
- Domínios de estágios PowerShell: securitysettings[.]live, xoiiasdpsdoasdpojas[.]com, conforme rastreamento da Huntress.
Relação com ações de takedown
As campanhas foram ativas durante a fase da operação que a publicação chama de Operation Endgame 3.0, que mirou infraestrutura ligada ao stealer Rhadamanthys em meados de novembro; após as apreensões/derrubadas, pesquisadores ainda observaram domínios servindo o lure da falsa tela, embora o payload Rhadamanthys parecesse indisponível em certas instâncias.
Controles e resposta
- Mitigações operacionais: desabilitar a caixa Run via Group Policy (NoRun policy) ou via registro quando aplicável, reduzindo o vetor manual explorado pelo ClickFix.
- Detecção: monitorar EDR por explorações em que explorer.exe spawn de mshta.exe, powershell.exe ou invocações de scripting com linhas de comando suspeitas; analisar RunMRU no registro para comandos executados.
- Prevenção: treinar usuários para não colarem comandos vindos de páginas web e esclarecer que processos como Windows Update não solicitarão execução manual por Run dialog.
Limitações
As matérias e os relatórios da Huntress documentam o fluxo técnico e indicadores observados, mas não quantificam um número amplo de vítimas nem descrevem campanhas direcionadas a organizações específicas além dos clusters identificados.
Fonte: Cyber Security News (síntese do rastreamento e análise da Huntress).