Belegte ATT&CK-Technik zum Erstzugriff+6
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
ClickFix campaign in Ukraine compromises over 100 websites to spread Lunex malware
Eine "ClickFix"-Kampagne hat über 100 ukrainische Websites kompromittiert, um Besucher mit der Lunex-Malware zu infizieren. Betroffen sind Nutzer, die auf gefälschten Cloudflare-Seiten PowerShell-Befehle ausführen, wodurch Passwörter, Krypto-Daten und Fernzugriff gestohlen werden können. CERT-UA rät zur Vorsicht und verfolgt die Aktivität unter UAC-0277.
SecBoard-Einordnung
Die Kampagne zielt auf den Diebstahl sensibler Daten wie Passwörter und Kryptowährungsdaten ab und kann Fernzugriff auf betroffene Systeme ermöglichen, was zu erheblichen Sicherheitsverletzungen führen kann.
Realistisch schlimmster Fall: Der schlimmste Fall ist der vollständige Verlust von Zugangsdaten und Kryptowährungen sowie die Übernahme von Systemen durch Fernzugriff, was zu weiteren Kompromittierungen oder finanziellen Verlusten führen kann.
Empfehlung: Nutzer sollten äußerst vorsichtig sein bei Aufforderungen zur Ausführung von Befehlen aus unbekannten Quellen und die Legitimität von Websites, insbesondere bei Sicherheitsabfragen, sorgfältig überprüfen.
Betroffen
Nutzer, die kompromittierte ukrainische Websites besuchen und auf gefälschten Cloudflare-Seiten PowerShell-Befehle ausführen, sind betroffen.
Prüfen
3- ▸Überprüfen Sie Systemprotokolle auf ungewöhnliche PowerShell-Ausführungen, insbesondere solche, die von Browsern oder unerwarteten Quellen stammen.
- ▸Scannen Sie Endpunkte auf Anzeichen von Lunex-Malware oder anderen bekannten Stealer-Signaturen.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie die DNS-Auflösung und den Netzwerkverkehr auf Verbindungen zu bekannten Command-and-Control-Servern (C2) im Zusammenhang mit UAC-0277 oder Lunex.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genaue Methode der Kompromittierung der über 100 ukrainischen Websites ist nicht spezifiziert.
- ▸Es ist nicht spezifiziert, welche spezifischen Versionen von PowerShell betroffen sind oder welche spezifischen Schwachstellen ausgenutzt werden.
- ▸Die genaue Art des Fernzugriffs und die verwendeten Tools sind nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
- Können wir Initial Access detektieren?
MITRE ATT&CK(6)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Betroffen sind Nutzer, die auf gefälschten Cloudflare-Seiten PowerShell-Befehle ausführen“
„Eine "ClickFix"-Kampagne hat über 100 ukrainische Websites kompromittiert, um Besucher mit der Lunex-Malware zu infizieren.“
„wodurch Passwörter, Krypto-Daten und Fernzugriff gestohlen werden können.“
„wodurch Passwörter, Krypto-Daten und Fernzugriff gestohlen werden können.“
„wodurch Passwörter, Krypto-Daten und Fernzugriff gestohlen werden können.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
Quellen & Belege· 1 Quelle
Redaktion mit eigener Recherche und eigenen Quellen, regelmaessig Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap