Grupul APT Lazarus distribuie malware prin tehnica ClickFix. Cum funcționează atacul și ce măsuri recomandă DNSC

Grupul APT Lazarus distribuie malware prin tehnica ClickFix, o metodă de inginerie socială ce combină phishing-ul cu execuția de comenzi periculoase, avertizează Directoratul Național pentru Securitate Cibernetică (DNSC).

APT Lazarus, asociat Coreei de Nord, vizează organizații și companii din domeniul tehnologiei

„Grupul APT Lazarus, asociat Coreei de Nord, este cunoscut pentru campanii cibernetice complexe ce vizează atât organizații guvernamentale, cât și companii din domeniul tehnologiei. În ultima perioadă, Lazarus a adoptat o nouă metodă de inginerie socială denumită ClickFix, care combină elemente de phishing și execuție de comenzi rău intenționate pentru a compromite țintele selectate”, a transmis DNSC.
Potrivit experților, atacul se bazează pe website-uri false, oferte de angajare disimulate sau actualizări software fictive, iar exploatarea este posibilă prin interacțiunea directă a victimei, care rulează comenzile periculoase copiate în clipboard.

Cum funcționează tehnica ClickFix

ClickFix păcălește utilizatorii să execute comenzi PowerShell periculoase. Ținta este atrasă către o pagină web aparent legitimă (interviu de angajare, test tehnic, actualizare software), unde instrucțiunile afișate copiază automat în clipboard comenzi rău intenționate. Victima este apoi îndemnată să le ruleze în terminal, sub pretextul rezolvării unei probleme urgente. Odată executate, comenzile pot descărca și instala malware, deschide sesiuni cu servere de comandă și control și exfiltra date sensibile.

Grupul APT Lazarus distribuie malware prin tehnica ClickFix- Nivel ridicat de severitate al atacului

„Scorul de severitate este ridicat, deoarece tehnica exploatează încrederea utilizatorului, poate ocoli filtrele tradiționale de securitate și poate conduce rapid la compromiterea completă a sistemului, ceea ce duce la acces neautorizat, exfiltrarea credențialelor și a datelor sensibile, instalarea de backdoor-uri persistente și facilitarea atacurilor ulterioare, precum mișcarea laterală sau ransomware”, a atenționat DNSC.

Recomandările DNSC pentru protecția utilizatorilor

• Instruirea utilizatorilor să nu ruleze comenzi primite din surse externe neautorizate;

• Restricționarea PowerShell doar la scripturi semnate digital sau limitarea execuției la administratori;

• Blocarea domeniilor și IP-urilor periculoase prin liste publice de indicatori de compromitere;

• Reducerea drepturilor utilizatorilor pentru a limita impactul unei compromiteri;

• Implementarea autentificării multi-factor (MFA) pentru accesul la resurse critice;

• Actualizarea constantă a sistemelor și aplicațiilor pentru eliminarea vulnerabilităților.

Avertismentul DNSC

Instituția subliniază că tehnica ClickFix utilizată de Grupul APT Lazarus reprezintă o amenințare serioasă, capabilă să ocolească măsurile obișnuite de protecție și să permită accesul neautorizat, furtul de informații și instalarea de programe periculoase.