ClickFix-ловушки распространяют новый RAT ChainScript через Polygon для ротации C2-инфраструктуры
Исследователи из Blackpoint Adversary Pursuit Group обнаружили ранее неизвестный RAT под названием ChainScript, который распространяется с помощью ClickFix-подобных ловушек. Вредоносная программа маскируется под Spotify, Zoom Workplace и Microsoft Teams, а для ротации командной инфраструктуры злоумышленники используют блокчейн Polygon. Атака затрагивает пользователей Windows, ищущих легитимное ПО.
Подробности
По данным Blackpoint APG, ChainScript фигурирует под несколькими именами сборок, включая ComponentTask33, UpdateDigital, HostShared и OrchidViolet66. Такое разнообразие имен позволяет вредоносу оставаться незамеченным и затрудняет его сигнатурное обнаружение антивирусными решениями. Сама схема ClickFix предполагает, что жертву убеждают выполнить вручную一系列 команд или вставить скрипт в терминал — якобы для «исправления ошибки» или «подтверждения, что вы не робот». В результате на устройство загружается и запускается ChainScript, предоставляющий атакующим удаленный доступ. Ключевая особенность кампании — использование блокчейна Polygon для ротации инфраструктуры command-and-control (C2). Вместо традиционных доменов или IP-адресов, которые можно быстро заблокировать, операторы ChainScript, судя по всему, применяют смарт-контракты или транзакции в сети Polygon для получения актуальных адресов C2-серверов. Это делает блокировку инфраструктуры значительно сложнее: даже если один сервер будет выведен из строя, вредонос сможет получить новый адрес из децентрализованной и неизменяемой записи в блокчейне. Подобный подход уже встречался у других APT-групп, но в контексте ClickFix-кампаний он применяется редко. На данный момент публично не раскрыты конкретные CVE, связанные с ChainScript, — атака строится на социальной инженерии, а не на эксплуатации уязвимостей. Основная цель — устройства под управлением Windows, поскольку ClickFix-ловушки обычно имитируют диалоговые окна браузера или системные утилиты. Вредоносные сборки могут выглядеть как установщики или обновления для вышеупомянутых приложений.Что делать
Специалисты по безопасности рекомендуют следующие меры защиты: - Объясните сотрудникам, что легитимные сайты и сервисы никогда не просят вставлять команды в терминал или PowerShell для «проверки» или «исправления» чего-либо. Это основной признак ClickFix-атак. - Загружайте Spotify, Zoom Workplace, Microsoft Teams и другие приложения только с официальных сайтов или из проверенных магазинов приложений. - Настройте EDR- или антивирусные решения для отслеживания подозрительной активности PowerShell, cmd и других интерпретаторов команд, особенно при запуске из браузера. - Ограничьте права пользователей: запретите запуск скриптов без цифровой подписи через групповые политики. - Проведите аудит сетевого трафика на предмет обращений к узлам, связанным с Polygon, если они не используются в легитимных бизнес-процессах. - Следите за индикаторами компрометации (IOC) от Blackpoint APG и других исследовательских групп — имена сборок ComponentTask33, UpdateDigital, HostShared, OrchidViolet66 помогут в охоте за угрозами. Итог: ChainScript демонстрирует эволюцию ClickFix-тактик — от простого распространения вредоносов до использования децентрализованных блокчейн-каналов для устойчивости C2. Компаниям стоит пересмотреть политики запуска скриптов и усилить обучение сотрудников, чтобы не стать частью этой кампании.Источник: The Hacker News