Nieuws
image

Meer dan 100 autodealers getroffen door supplychain-aanval die ClickFix-aanval omvat

dinsdag 18 maart 2025, 12:04 door Redactie, 1 reacties

Meer dan 100 autodealers zijn doelwit geworden van een ClickFix-aanval. Een aanvaller richtte zijn pijlen op LES Automotive, dat een videodienst aanbiedt dat specifiek is gericht op autodealers. Zo wist de aanvaller de ClickFix-aanval in één keer naar een groot aantal autodealers te verspreiden.

Hiervoor waarschuwt beveiligingsonderzoeker Randy McEoin. De aanvaller maakte gebruik van een reCAPTCHA-variant van de ClickFix-aanval. Bezoekers kregen daarbij een valse reCAPTCHA te zien, die hen PowerShell-commando's liet uitvoeren op hun systeem. Zo laadden gebruikers zonder het door te hebben een payload op hun systeem, die uiteindelijk de SectopRAT installeerde.

Infostealer

SectopRAT is een remote access trojan (RAT) die is gericht op de diefstal van informatie. Het richt zich daarbij onder meer op browser- en cryptogerelateerde informatie. De RAT is ook bekend onder de naam ArechClient2.

Opvallend is dat de aanval niet altijd werd uitgevoerd; sommige gebruikers kregen een onschuldige variant van de reCAPTCHA geserveerd. Indien de kwaadaardige variant werd geladen kregen gebruikers een reCAPTCHA te zien die hen vroeg te bewijzen dat zij geen robot zijn door een aantal stappen uit te voeren. Deze stappen bestaan in de praktijk uit het openen van de commandline-interface via de sneltoets Windows + R, het kopiëren van content vanuit het clipboard via CTRL + V en bevestigen van de invoer door op de enter-toets te drukken. Wie dit doet laadt hiermee het malafide PowerShell-script, dat uiteindelijk de malware installeert.

Reacties (1)
Reageer met quote
Gisteren, 14:28 door Anoniem
Als IT'er wordt ik verdrietig van het feit dat iemand een commando via Run uitvoert als deze iets op een website wilt bekijken. Dit benadrukt maar weer dat awareness op de werkvloer van belang is.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search