Νέες κυβερνοαπειλές χρησιμοποιούν QR κωδικούς, ClickFix και LOLBins

Οι ειδικοί στην κυβερνοασφάλεια της ANY.RUN αποκάλυψαν πρόσφατα ανησυχητικές τάσεις σχετικά με το πώς οι επιτιθέμενοι εκμεταλλεύονται καθημερινές τεχνολογίες για να παρακάμψουν τα κέντρα επιχειρήσεων ασφαλείας (SOC). Αναλύθηκαν τακτικές όπως το phishing μέσω QR κωδικών, η τεχνική ClickFix και τα Binaries Living Off the Land (LOLBins), δείχνοντας πώς αυτές οι μέθοδοι αποφεύγουν τις παραδοσιακές άμυνες.

Δείτε επίσης: Χρήση ClickFix τεχνικών για εγκατάσταση NetSupport RAT loaders

Καθώς οι απειλές γίνονται πιο εξελιγμένες, οι ομάδες SOC αντιμετωπίζουν αυξανόμενη πίεση να προσαρμοστούν, με χαμηλά ποσοστά ανίχνευσης που κινδυνεύουν να προκαλέσουν σοβαρές παραβιάσεις. Βασιζόμενη σε αναλύσεις πραγματικών δειγμάτων, η συνεδρίαση τόνισε τα διαδραστικά εργαλεία και τις πληροφορίες σε πραγματικό χρόνο ως ζωτικά αντίμετρα.

Οι επιθέσεις ClickFix ξεχωρίζουν για την εξάρτησή τους από την αλληλεπίδραση του χρήστη, μετατρέποντας τις συνήθεις επαληθεύσεις σε πύλες κακόβουλου λογισμικού. Οι επιτιθέμενοι στέλνουν phishing emails που μιμούνται αξιόπιστους ιστότοπους, όπως πλατφόρμες κρατήσεων, με ψεύτικα CAPTCHAs. Όταν ένα θύμα κάνει κλικ, ένα κακόβουλο PowerShell script καταλαμβάνει το πρόχειρο απαρατήρητο, προτρέποντας τον χρήστη να το επικολλήσει και να το εκτελέσει μέσω ενός διαλόγου συστήματος.

Οι αναλύσεις sandbox αποκαλύπτουν πώς η εκτέλεση αναπτύσσει infostealers όπως το Lumma ή το AsyncRAT, καθώς και ransomware, καθιερώνοντας επιμονή μέσω αρχείων εκκίνησης. Τα παραδοσιακά εργαλεία αποτυγχάνουν στα CAPTCHAs, αλλά τα διαδραστικά sandboxes προσομοιώνουν ανθρώπινες ενέργειες, αποκαλύπτοντας την πλήρη αλυσίδα από το αρχικό κλικ μέχρι την παράδοση του φορτίου σε δευτερόλεπτα. Χωρίς τέτοιες δυνατότητες, τα SOCs χάνουν απειλές που ενσωματώνονται απρόσκοπτα στις ροές εργασίας των χρηστών, οδηγώντας σε κλοπή διαπιστευτηρίων και παραβίαση συστημάτων.

Τα phishing kits, ή phishkits, έχουν εξελιχθεί σε βασικά στοιχεία του dark web, δίνοντας τη δυνατότητα σε αρχάριους να ξεκινήσουν εκστρατείες επαγγελματικού επιπέδου εναντίον γιγάντων όπως η Microsoft και η Google. Η τελευταία ανατροπή ενσωματώνει QR κωδικούς σε συνημμένα PDF που μεταμφιέζονται ως έγγραφα DocuSign, κατευθύνοντας τις σαρώσεις σε κινητές συσκευές όπου οι ενδείξεις phishing κρύβονται σε μικρές οθόνες. Αυτά τα κιτ περιλαμβάνουν δολώματα που δημιουργούνται από AI, πολυεπίπεδους ελέγχους και CAPTCHAs όπως το Cloudflare Turnstile, καταλήγοντας σε ψεύτικες σελίδες σύνδεσης για συλλογή διαπιστευτηρίων.

Δείτε ακόμα: PhantomCaptcha: Νέα επίθεση ClickFix στοχεύει την Ουκρανία

Η αυτόματη εκτέλεση της ANY.RUN εξάγει συνδέσμους QR, λύνει προκλήσεις και ανιχνεύει την αλυσίδα θανάτου, αποκαλύπτοντας δεσμούς με ομάδες όπως η Storm-1747. Πολλές άμυνες παραβλέπουν το περιεχόμενο QR, επιτρέποντας την αποφυγή, αλλά τα προηγμένα sandboxes το χειρίζονται αυτόνομα, μειώνοντας τα φορτία Tier 1 κατά 20%. Καθώς τα phishkits πολλαπλασιάζονται, στοχεύοντας περιοχές μέσω τοπικών δολωμάτων, τα SOCs πρέπει να δώσουν προτεραιότητα στη σάρωση QR για να περιορίσουν τις ευρείες εκστρατείες.

Τα LOLBins εκμεταλλεύονται τις ίδιες τις βοηθητικές εφαρμογές των Windows, όπως το PowerShell, το mshta.exe και το cmd.exe για να καλύψουν την κακόβουλη δραστηριότητα ως συνήθεις λειτουργίες. Ένα phishing αρχείο .lnk μπορεί να καλέσει το mshta μέσω PowerShell για να ανακτήσει φορτία από απομακρυσμένους διακομιστές, κατεβάζοντας παραπλανητικά PDFs για να κρύψει τον πραγματικό stealer, όπως το DeerStealer. Αυτή η προσέγγιση “living off the land” αποφεύγει τις λίστες επιτρεπόμενων και το λογισμικό προστασίας από ιούς μιμούμενη τις εργασίες διαχειριστή, αφήνοντας αμυδρά εγκληματολογικά ίχνη.

Η ανάλυση συμπεριφοράς σε sandboxes αποκαλύπτει συνδέσεις με διακομιστές C2 και μηχανισμούς επιμονής, διακρίνοντας την κατάχρηση από τη νομιμότητα. Χωρίς το πλαίσιο από παγκόσμιες έρευνες, οι ειδοποιήσεις προκαλούν ψευδώς θετικά αποτελέσματα. Οι ροές πληροφοριών απειλών, αντλώντας φρέσκα IOCs από χιλιάδες συνεδρίες, επιτρέπουν τον αποκλεισμό σε πραγματικό χρόνο, μειώνοντας τους χρόνους απόκρισης.

Δείτε επίσης: ClickFix: TikTok βίντεο διανέμουν info-stealer malware

Οι τακτικές που χρησιμοποιούνται από το ClickFix, συμπεριλαμβανομένης της διαδραστικότητας, της απόκρυψης QR και της μυστικότητας LOLBin, υπογραμμίζουν τους περιορισμούς της αποκλειστικής εξάρτησης από την αυτοματοποίηση. Οι λύσεις της ANY.RUN, που συνδυάζουν διαδραστική ανάλυση με κοινή νοημοσύνη, ενισχύουν τα ποσοστά ανίχνευσης κατά 88% σε λιγότερο από ένα λεπτό και μειώνουν τον μέσο χρόνο επίλυσης (MTTR) κατά 21 λεπτά.