Uma nova variante do ataque de engenharia social do FileFix usa contrabando de cache para baixar secretamente um arquivo ZIP malicioso no sistema da vítima e ignorar o software de segurança.
O novo ataque de phishing e engenharia social se faz passar por um “Fortinet VPN Compliance Checker” e foi detectado pela primeira vez pelo pesquisador de segurança cibernéticaP4nd3m1cb0y, que compartilhou informações sobre isso em X.
Em um novo relatório da empresa de segurança cibernética Expulsar, o pesquisador de segurança cibernética Marcus Hutchins compartilha mais detalhes sobre como esse ataque funciona.
Para quem não está familiarizado comAtaques do FileFix, eles são uma variante doAtaque de engenharia social ClickFixdesenvolvido por Mr.d0x. Em vez de induzir os usuários a colar comandos maliciosos nas caixas de diálogo do sistema operacional, ele usaa barra de endereços do Windows File Explorerpara executar scripts do PowerShell furtivamente.
Ataque do FileFix evolui com contrabando de cache
No novo ataque de phishing, um site exibe uma caixa de diálogo que se apresenta como um “Verificador de conformidade” da Fortinet VPN, direcionando os usuários a colar o que parece ser um caminho de rede legítimo para um programa Fortinet em um compartilhamento de rede.
Devido a esse preenchimento, quando o visitante segue as instruções para abrir o Explorador de Arquivos e colar o comando na barra de endereços, apenas o caminho é exibido, conforme mostrado abaixo.
Em seguida, o script inicia o executável FortiClientComplianceChecker.exe do arquivo extraído para executar código malicioso.
Você pode estar se perguntando como o arquivo malicioso foi armazenado nos arquivos de cache do Chrome em primeiro lugar, e é aí que o ataque de contrabando de cache entra em jogo.
Quando o visitante acessava a página de phishing que continha a isca do FileFix, o site executava JavaScript que instruía o navegador a recuperar um arquivo de imagem.
Como a resposta HTTP afirma que a imagem buscada é do tipo “image/jpeg”, o navegador a armazena automaticamente em cache no sistema de arquivos, tratando-a como um arquivo de imagem legítimo, mesmo que não seja.
Como isso foi feito antes que o comando do PowerShell fosse executado por meio do Explorador de Arquivos, o arquivo já existia no cache e o arquivo zip poderia ser extraído dele.
“Essa técnica, conhecida comoContrabando de cache, permite que o malware ignore muitos tipos diferentes de produtos de segurança”, explica Hutchins.
“Nem a página da Web nem o script do PowerShell baixam explicitamente nenhum arquivo. Simplesmente permitindo que o navegador armazene em cache a “imagem” falsa, o malware é capaz de obter um arquivo zip inteiro no sistema local sem que o comando do PowerShell precise fazer nenhuma solicitação da web.
“Como resultado, qualquer ferramenta que verifique os arquivos baixados ou procure scripts do PowerShell que executem solicitações da Web não detectaria esse comportamento.”
Os agentes de ameaças adotaram rapidamente a nova técnica FileFix logo após sua divulgação, com Gangues de ransomware e Outros agentes de ameaças utilizando-o em suas campanhas.
O gerador ClickFix expande o ecossistema
Além da nova variante do FileFix de contrabando de cache, pesquisadores da Unidade 42 de Palo Alto descobriu um novo kit ClickFix chamado “IUAM ClickFix Generator”, que automatiza a criação de iscas no estilo ClickFix.
A interface do Gerador ClickFix permite que os invasores criem páginas de verificação falsificadas, personalizem títulos e texto de páginas, selecionem esquemas de cores e configurem cargas úteis da área de transferência.
O Evento de Validação de Segurança do Ano: O Picus BAS Summit
Junte-se ao Cúpula de Simulação de Violação e Ataque e experimente o Futuro da validação de segurança. Ouça os principais especialistas e veja como BAS alimentado por IA está transformando a simulação de violação e ataque.
Não perca o evento que moldará o futuro da sua estratégia de segurança
Lawrence Abrams
Lawrence Abrams é o proprietário e editor-chefe da BleepingComputer.com. A área de especialização de Lawrence inclui Windows, remoção de malware e computação forense. Lawrence Abrams é coautor do Guia de campo de desfragmentação, recuperação e administração do Winternals e editor técnico do Rootkits for Dummies.