ClickFix w kampanii CrocoRat ukrywa ładunek w rekordzie DNS TXT

Kampania CrocoRat opisana przez firmę Flare to nowa odmiana ataku ClickFix: polecenie wklejone przez ofiarę do PowerShell nie pobiera ładunku wprost, tylko odpytuje rekord DNS TXT na serwerze kontrolowanym przez atakujących. ClickFix to technika socjotechniczna, a nie luka w oprogramowaniu, więc nie ma do niej łatki. CrocoRat to trojan zdalnego dostępu i złodziej kryptowalut. Badacz Flare Assaf Morag trafił na kampanię przez domenę z celową literówką. Na stronie był rozmazany schemat instalacji elektrycznej, fałszywe pole reCAPTCHA obok podrobionego logo Cloudflare i polecenie „Open PowerShell and paste the text”. Według Dark Reading atakujący ukrywają ładunki także we wstępnie ładowanej pamięci podręcznej przeglądarki, przez co trudniej wykryć wczesny etap ataku.

Kogo dotyczy

Materiał opisuje użytkowników, którym strona każe wkleić i uruchomić polecenie w oknie Uruchom systemu Windows, w PowerShell albo w Terminalu macOS. Przynętą jest fałszywa weryfikacja CAPTCHA albo rzekoma aktualizacja podczas spotkania Zoom. Badacze nie wiedzą, jak ofiary trafiały na stronę kampanii CrocoRat.