După ClickFix, avem acum și OCRFix.
Campania malware denumită OCRFix readuce în atenție eficiența atacurilor bazate pe inginerie socială, combinate cu tehnici moderne de livrare și ascundere a infrastructurii de comandă și control.
Operațiunea exploatează încrederea utilizatorilor în aplicații legitime, în special în instrumente de tip OCR, pentru a distribui un botnet care utilizează metode avansate de evitare a detecției.
Atacul începe prin intermediul unui site care imită un serviciu legitim de recunoaștere optică a caracterelor. Utilizatorii sunt atrași către pagină prin diferite metode de promovare malițioasă, iar odată ajunși acolo li se afișează un mesaj de „verificare” fals, similar unui mecanism CAPTCHA. În realitate, este vorba despre o tehnică de tip ClickFix, concepută pentru a convinge victima să execute manual o comandă periculoasă.
Cum funcționează lanțul de infectare
Pagina malițioasă solicită utilizatorului să copieze și să ruleze o comandă într-o fereastră PowerShell, sub pretextul unei verificări tehnice. Comanda respectivă descarcă și execută un script care inițiază compromiterea sistemului. În acest moment, malware-ul stabilește o conexiune cu infrastructura de comandă și control a atacatorilor și începe să primească instrucțiuni suplimentare.
Dispozitivul compromis poate fi integrat într-un botnet, permițând operatorilor să execute comenzi la distanță, să descarce alte componente malițioase sau să utilizeze sistemul pentru colectarea de date și alte activități ilicite.
Un element distinctiv al campaniei este utilizarea tehnicii EtherHiding. În loc să includă direct adresele serverelor de comandă și control în codul malware, operatorii stochează informațiile relevante în tranzacții sau contracte inteligente pe blockchain-uri publice. Malware-ul interoghează aceste surse pentru a identifica serverele active, ceea ce îngreunează blocarea sau dezactivarea infrastructurii.
Ce înseamnă software OCR
OCR reprezintă abrevierea pentru Optical Character Recognition și desemnează tehnologia utilizată pentru conversia textului din imagini sau documente scanate în text digital editabil. Aplicațiile OCR sunt folosite pe scară largă pentru digitizarea documentelor tipărite, arhivare electronică și automatizarea proceselor administrative.
Tehnologia funcționează prin analizarea pixelilor dintr-o imagine, identificarea formelor literelor și transformarea acestora în caractere digitale. Popularitatea acestor aplicații le transformă într-un vector atractiv pentru campaniile de impersonare, așa cum demonstrează și cazul OCRFix.
Ce este un botnet
Un botnet este o rețea de dispozitive compromise – calculatoare, servere sau alte echipamente conectate la internet – care sunt controlate de la distanță de către un atacator. Fiecare dispozitiv infectat devine un „bot” (sau „zombie”) și execută comenzi primite de la infrastructura de comandă și control (C2).
Botnet-urile sunt utilizate pentru o varietate de activități malițioase, inclusiv atacuri de tip DDoS, distribuirea de spam, răspândirea altor tipuri de malware, furt de date sau exploatarea resurselor hardware ale victimelor. De regulă, utilizatorii nu sunt conștienți că sistemele lor fac parte dintr-o astfel de rețea.
În cazul campaniei OCRFix, dispozitivele compromise sunt integrate într-un botnet care poate primi instrucțiuni suplimentare de la operatori, folosind mecanisme avansate de ascundere a infrastructurii pentru a evita blocarea și identificarea rapidă.
Ce sunt amenințările de tip ClickFix
ClickFix este o metodă de distribuire a malware bazată pe manipularea directă a utilizatorului. În loc să exploateze o vulnerabilitate tehnică în mod automat, atacul convinge victima să execute voluntar o comandă periculoasă.
Scenariul presupune afișarea unui mesaj fals care indică o eroare sau o verificare necesară. Utilizatorului i se cere să deschidă o consolă de comandă și să lipească un cod furnizat de pagină. Codul este, în realitate, un script malițios pregătit să descarce și să ruleze componente suplimentare.
Această tehnică poate ocoli mecanismele tradiționale de securitate deoarece execuția este inițiată de utilizator, iar acțiunea poate părea legitimă la prima vedere.
Cum poate fi protejată infrastructura
Pentru reducerea riscurilor asociate unor astfel de campanii, specialiștii recomandă o abordare stratificată:
- Instruirea utilizatorilor: Orice solicitare de a executa manual comenzi în PowerShell sau în alte terminale, primită prin intermediul unei pagini web, trebuie considerată suspectă. Campaniile de conștientizare pot reduce semnificativ rata de succes a atacurilor de tip ClickFix.
- Restricționarea execuției scripturilor: Limitarea rulării scripturilor PowerShell și aplicarea unor politici stricte privind execuția codului pot împiedica lansarea comenzilor malițioase.
- Limitarea privilegiilor: Utilizatorii nu ar trebui să dețină drepturi administrative decât atunci când este absolut necesar. Principiul „least privilege” reduce impactul unei eventuale compromiteri.
- Implementarea soluțiilor EDR: Sistemele moderne de detecție și răspuns la nivel de endpoint pot identifica execuții neobișnuite de comenzi, descărcări suspecte sau conexiuni către infrastructuri necunoscute.
- Monitorizarea traficului de rețea: Identificarea comunicațiilor anormale și blocarea conexiunilor către servere suspecte contribuie la limitarea propagării botnetului.
- Actualizări regulate: Menținerea la zi a sistemelor de operare și a aplicațiilor reduce suprafața de atac și elimină vulnerabilitățile cunoscute.
Campania OCRFix demonstrează că atacatorii investesc tot mai mult în tehnici de manipulare a utilizatorilor și în infrastructuri dificil de blocat. În acest context, prevenția, monitorizarea continuă și controalele stricte de securitate rămân esențiale pentru protejarea infrastructurilor IT.
Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.
