[业内新闻动态] [【转载】] 黑客组织GrayCharlie利用ClickFix攻击劫持美国律师事务所，大量传播远控木马

结论

GrayCharlie组织通过劫持WordPress网站供应链，利用JavaScript重定向与ClickFix社会工程手段，诱导用户下载恶意RAT。攻击路径集中在前端注入、用户交互欺骗、负载下载三个环节，需从源代码污染入口、交互逻辑漏洞、C2通信链路三方面进行防御。

分析路径

L1 攻击面识别

1. 前端注入入口：被攻破网站的源代码中是否存在恶意JS引用（如<script src=//C2.js>）。
2. 供应链漏洞：律师事务所可能通过共享IT供应商引入恶意代码，需追溯供应商的软件更新、CMS插件供应链。
3. ClickFix触发条件：伪造的浏览器错误提示是否依赖特定浏览器版本或插件缺失状态。

L2 假设与验证

• 假设1：攻击者通过WebShell或漏洞（如WP插件漏洞）植入JS钩子。
  • 验证：检查网站WP插件版本、文件哈希、异常HTTP POST请求（如/wp-admin/admin-ajax.php）。
• 假设2：恶意JS通过window.location或eval()实现重定向。
  • 验证：抓包分析前端JS执行逻辑，寻找eval()、XMLHttpRequest到C2的流量。

L3 边界/异常场景

• 浏览器差异：攻击可能绕过浏览器安全机制（如CSP），需验证被黑网站的CSP策略是否被篡改。
• 用户交互旁路：是否存在自动化下载（如伪造弹窗+window.open()强制跳转）。

L4 防御反推与修复

• C2通信特征：NetSupport RAT通常使用明文HTTP或特定端口（如80/443），需分析域名解析日志和异常DNS请求。
• RAT植入痕迹：检查终端日志中可疑进程（如nswshell.exe）及注册表持久化项（如HKCU\Software\NSClient）。

验证步骤

1. 源代码审计

   # 下载目标网站HTML并检查注入点  
   curl -s https://victim-website.com | grep -Ei 'script|src|eval'  

2. 网络流量捕获

   # 使用Wireshark过滤HTTP重定向与C2通信  
   tshark -Y "http.host contains 'mivocloud' || http.refer contains 'NetSupport'"  

3. JS行为分析
   • 用Burp Collaborator检测恶意JS的C2回调。
   • 逆向可疑JS中的Base64/混淆代码，寻找download或exec逻辑。
4. 终端检测

   # Windows终端检测NetSupport RAT特征  
   Get-ChildItem -Path C:\Users\*\Downloads\ -Recurse | Select-String -Pattern "nswshell"  

修复建议

1. 供应链加固
   • 强制审计律师事务所网站的CMS版本、插件供应链，使用WPScan扫描已知漏洞。
   • 对共享IT供应商的更新包进行签名验证与沙箱执行测试。
2. 前端污染阻断
   • 部署Web应用防火墙（WAF）规则，拦截<script src="external.js">等动态脚本注入。
   • 在Nginx/Apache配置中设置严格CSP：Content-Security-Policy: script-src 'self'。
3. 用户交互防御
   • 部署浏览器扩展（如NoScript）或EDR规则，拦截非信任域的下载弹窗。
4. 网络层防御
   • 封锁已知C2 IP（如MivoCloud/HZ Hosting关联IP段）及高危端口（如NetSupport默认端口12345）。
5. 日志监控
   • 设置SIEM规则检测window.open()高频调用、异常.exe下载及注册表修改事件。

关键点：攻击核心在于前端代码污染与用户交互欺骗，需从代码注入入口、JS行为控制、RAT执行路径三个环节同步防御。若无目标网站样本，可从C2基础设施侧（域名/IP）溯源反推注入逻辑。