Kempen Serangan ClearFake

Aktor ancaman siber di sebalik kempen ClearFake telah menggunakan pengesahan reCAPTCHA dan Cloudflare Turnstile palsu untuk menipu pengguna yang tidak curiga supaya memuat turun perisian hasad. Teknik menipu ini digunakan untuk mengedarkan perisian hasad yang mencuri maklumat seperti Lumma Stealer dan Vidar Stealer .

Kemas Kini Pelayar Palsu sebagai Perangkap Hasad

Mula dikenal pasti pada Julai 2023, ClearFake ialah kempen berniat jahat yang merebak melalui tapak WordPress yang terjejas, menggunakan gesaan kemas kini pelayar web palsu untuk menarik mangsa. Kaedah ini telah menjadi teknik yang digemari oleh penjenayah siber yang ingin menggunakan perisian hasad dengan cekap.

Memanfaatkan EtherHiding untuk Stealth dan Kegigihan

Aspek utama rantaian jangkitan ClearFake ialah EtherHiding, teknik yang membolehkan penyerang mengambil muatan peringkat seterusnya menggunakan kontrak Smart Chain (BSC) Binance. Pendekatan ini meningkatkan daya tahan serangan dengan memanfaatkan teknologi blockchain terdesentralisasi, menjadikan usaha pengesanan dan alih keluar lebih mencabar.

Kemunculan ClickFix: Helah Kejuruteraan Sosial

Menjelang Mei 2024, ClearFake telah menggabungkan ClickFix, helah kejuruteraan sosial yang direka untuk memperdaya pengguna supaya melaksanakan kod PowerShell yang berniat jahat di bawah alasan palsu untuk membetulkan isu teknikal yang tidak wujud. Teknik ini membantu penyerang mendapatkan kawalan selanjutnya ke atas sistem mangsa.

Keupayaan Web3 Lanjutan dalam Varian Terkini ClearFake

Lelaran terkini kempen ClearFake terus menggunakan EtherHiding dan ClickFix, tetapi dengan kemajuan yang ketara. Kemas kini ini termasuk:

• Interaksi yang lebih hebat dengan Binance Smart Chain, menggunakan Antara Muka Binari Aplikasi kontrak pintar (ABI).
• Cap jari dipertingkatkan sistem mangsa, memuatkan berbilang kod JavaScript dan sumber.
• Kod HTML ClickFix yang disulitkan untuk mengelakkan analisis keselamatan.

Serangan Berbilang Peringkat dengan Muatan Disulitkan

Sebaik sahaja mangsa melawati tapak web yang terjejas, serangan berlaku dalam beberapa peringkat:

• Mendapatkan semula JavaScript daripada Binance Smart Chain untuk mengumpulkan maklumat sistem.

• Mengambil skrip ClickFix yang disulitkan daripada Cloudflare Pages.

• Pelaksanaan perintah PowerShell yang berniat jahat, yang membawa kepada penggunaan perisian hasad.

Jika mangsa meneruskan tindakan berniat jahat itu, Emmenhtal Loader (aka PEAKLIGHT) akan dilaksanakan, yang akhirnya memasang Lumma Stealer pada sistem.

Taktik Berkembang: Ancaman Berskala Besar

Menjelang Januari 2025, penyelidik keselamatan memerhati rantai serangan ClearFake baharu yang menggunakan pemuat PowerShell untuk memasang Vidar Stealer. Setakat bulan lepas, sekurang-kurangnya 9,300 laman web telah dikompromi.

Penyerang sentiasa mengemas kini rangka kerja ClearFake, mengubah suai gewang, skrip dan muatannya setiap hari. Malware kini menyimpan berbilang elemen utama dalam Rangkaian Pintar Binance, termasuk:

• kod JavaScript
• kunci penyulitan AES
• URL yang mengehos fail memikat berniat jahat
• Perintah ClickFix PowerShell

Jangkitan Beramai-ramai dan Pendedahan Berleluasa

Skala jangkitan ClearFake adalah penting, menjejaskan sebilangan besar pengguna di seluruh dunia. Pada Julai 2024, kira-kira 200,000 pengguna unik berpotensi terdedah kepada gewang ClearFake yang mendorong mereka memuat turun perisian hasad.

ClickFix Mengkompromi Tapak Web Peniaga Auto

Vektor serangan penting untuk ClickFix ialah tapak web pengedar kereta. Lebih 100 tapak pengedar telah terjejas, dengan perisian hasad SectopRAT dihantar melalui gewang ClickFix.

Bagaimanapun, laman web pengedar itu sendiri tidak dijangkiti secara langsung. Sebaliknya, kompromi berlaku melalui perkhidmatan video pihak ketiga yang secara tidak sedar mengehoskan suntikan JavaScript yang terjejas. Insiden ini nampaknya merupakan serangan rantaian bekalan, menonjolkan risiko yang ditimbulkan oleh kelemahan dalam perkhidmatan pihak ketiga. Skrip berniat jahat sejak itu telah dialih keluar daripada tapak yang dijangkiti.

Fikiran Akhir: Ancaman yang Berterusan dan Berkembang

Kempen ClearFake terus berkembang, memanfaatkan teknik berasaskan blokchain termaju, kejuruteraan sosial dan rantaian jangkitan pelbagai peringkat. Skala impaknya, dengan beribu-ribu tapak yang terjejas dan ratusan ribu bakal mangsa, menggariskan keperluan mendesak untuk langkah keselamatan siber yang teguh untuk mempertahankan diri daripada ancaman perisian hasad yang canggih itu.