IClickFix и ClearFake: доменные IOC требуют поведенческой проверки Подразделение CRATU зафиксировало 2 154 индикатора в сводке, границы которой требуют уточнения: в заголовке указан период к 29 сентября, а приведённые наблюдения датированы 5 октября. Основную массу формируют IClickFix и ClearFake, а домены заметно преобладают над другими типами IOC. Для SOC это не рейтинг семейств, а сигнал о delivery-инфраструктуре и социальной инженерии: приоритет стоит отдавать поведенческим признакам, а не блокировке отдельных адресов.
Разбор угрозы
На IClickFix приходится 1 038 индикаторов, на ClearFake — 584. Вместе это 1 622 записи, около трёх четвертей сводки. Домены составляют 1 762 индикатора, URL — 129, хэши — 263.
Такая пропорция не доказывает, что все домены были C2 или относились к одной операции. Они могли использоваться для доставки, промежуточных перенаправлений или другой инфраструктурной роли. Без связей между доменами, URL, хэшами и телеметрией хоста строить из списка готовую цепочку не стоит.
Почему в фокусе IClickFix
В одной из описанных цепочек после копирования команды PowerShell загружал и запускал обфусцированный скрипт. Исследователи также отмечали сходство IClickFix и ClearFake в многоэтапной JavaScript-цепочке с ложной проверкой Cloudflare Turnstile. Общая техника доставки не подтверждает единого оператора.
Что есть в текущей сводке
После IClickFix и ClearFake следуют Vidar — 84 индикатора, VShell — 77, Unknown Loader — 71, ValleyRAT — 30 и AMOS — 28. Эти метки помогают расставить приоритеты ретрохантинга, но не подтверждают для текущих наблюдений начальный вектор, запуск ВПО или объём компрометации.
В доступной части материала представлены домены, URL и хэши, впервые и в последний раз отмеченные 5 октября. Например: домены bdducts[.]click, 2vqamwfdpis5rkjtpkutigykp56n6hkxfurm6qukdxp6uz5uff5kkaid[.]onion и capricecapitalpartners[.]com; URL hxxp[://]107[.]151[.]233[.]120:8084/?h=107[.]151[.]233[.]120&p=8084&t=tcp&a=w32&stage=true и hxxps[://]www[.]pfzercentreone[.]com/Transfarencia[.]exe; SHA-256 fe1d9d584b44e9be7088097658ce6ebf38e71b108342d2a9b7062ca6f5d8f393 и 7037a728d1eec6d7437349589ea39ab283d0b155cf3f26bb7a7d422ba3336b2e. Индикаторы зафиксированы одним источником; для двух последних хэш-наблюдений указано по два события. Их можно использовать для обогащения DNS, прокси и EDR, но не назначать им роль C2 без дополнительных артефактов.
Название выпуска указывает неделю к 29 сентября 2026 года, а приведённые индикаторы датированы 5 октября. До уточнения этого расхождения публикация не даёт точной хронологии кампании.
Что проверить в инфраструктуре
Разделяйте правила по платформам. В исторически описанных ClickFix-кампаниях встречались Windows-цепочки с системными оболочками и macOS-сценарии с инструкциями для Terminal и поддельными утилитами. Метка AMOS сама по себе не означает, что текущие домены предназначены для macOS.
Последовательность «веб-страница/копирование команды → оболочка → загрузка» — историческая гипотеза для ручного ретрохантинга, а не подтверждённая цепочка текущей сводки. Автоматическая корреляция без совпадения на одном устройстве и у одного пользователя в заданном временном окне, а также без дополнительного подозрительного или вредоносного контекста — например, точного совпадения IOC, происхождения команды или файла, EDR-сигнала — недопустима: копирование команд, PowerShell и загрузка пакетов нередко легитимны.
Историческая аналитика по Vidar связывала его с техникой User Execution в MITRE ATT&CK и обращением к хранилищам учётных данных. Для ретрохантинга можно проверить подозрительные установщики, запущенные пользователем, и обращения процессов к браузерным хранилищам. Это исторический контекст MITRE ATT&CK, а наличие Vidar в текущей сводке не подтверждает такую цепочку сейчас.
Вывод CRATU
Главный сигнал недели — концентрация индикаторов вокруг IClickFix и ClearFake при преобладании доменов. Их практичнее использовать как слой обогащения, а гипотезы ретрохантинга проверять по связной последовательности событий, а не по отдельным адресам.
Индикаторы компрометации
| Тип | Значение |
|---|---|
| domain | bdducts[.]click |
| url | hxxp[://]107[.]151[.]233[.]120:8084/?h=107[.]151[.]233[.]120&p=8084&t=tcp&a=w32&stage=true |
| domain | 16mconseil[.]fr |
| url | hxxp[://]43[.]106[.]102[.]167/getinstall64 |
| hash_sha256 | fe1d9d584b44e9be7088097658ce6ebf38e71b108342d2a9b7062ca6f5d8f393 |
| domain | 2vqamwfdpis5rkjtpkutigykp56n6hkxfurm6qukdxp6uz5uff5kkaid[.]onion |
| domain | dfsjfisafosdikfos[.]info |
| domain | kirk[.]velyra[.]ru |
| domain | bh[.]5-rt[.]org |
| domain | jetos[.]2waky[.]com |
| domain | 21-realty[.]com |
| url | hxxps[://]oopz[.]surf/upd[.]exe |
| hash_sha256 | 7037a728d1eec6d7437349589ea39ab283d0b155cf3f26bb7a7d422ba3336b2e |
| domain | dhdhro456[.]gleeze[.]com |
| domain | boulderleaf[.]cc |
| hash_sha256 | 2b5f0c927f5436d8c04d58bb8c9fba470cbbf4ce23eacf2d65e336ca2bb59d97 |
| domain | orospucocu[.]sbs |
| domain | metacrptmytukkj7ajwjovdpjqzd7esg5v3sg344uzhigagpezcqlpyd[.]onion |
| domain | adecoco[.]us |
| hash_md5 | 978d89575db96b5fab1fcd7dca36cb21 |
| hash_sha256 | 6daf0a66bef3847abf05e59ced910d7b6f08b3caf1befe4998231f57795ac42c |
| url | hxxps[://]www[.]pfzercentreone[.]com/Transfarencia[.]exe |
| hash_sha256 | 993ab6888be9990b409d9ff41309719a6eff5a2f163c3dfb60cdc1070d013d2a |
| url | hxxp[://]13[.]143[.]165[.]81/ |
| hash_md5 | a72ce90402a259277d467c80b06acf64 |
| hash_sha256 | 2c530f2e10db77881730e7a9ec4e72244d59149fc8981a4f49c6e0fadc5fecee |
| hash_sha256 | 4eb1b940a3fc720978fc4fa778e0739656a98109a096845fc898a4a6a16100c7 |
| hash_sha256 | a88e1d7218e9d93e31690855e150fcd3173af55dde15f941a76660915ed6d4dd |
| hash_sha256 | 3ab441bc455c6259e23fad27e1bc5c311bb1daf8a5e6a394ae456e6a860da83c |
| hash_sha256 | 0d066f4a16eb2463dc340e84c2cba87ea848ab3fdb40ef693e12aed87c75a9ba |
| hash_sha256 | 52a63c6f9984abd5b875202df2f39751cbd7f0d4d55ee69b39bd8765148b48db |
| hash_sha256 | 9886ead36fe363f34572173ab14b5833b75a4d4727ef41b02667cea04e7401a8 |
| hash_sha256 | 273fe8743a0deb9e051e9a2aad3f919813767ce0fb4b58be72b1b22a1a4fead2 |
| hash_sha256 | 800e772f537565970a4d0873a91e631f0a74ebc354485df30e82865053ea2966 |
| domain | capricecapitalpartners[.]com |
| hash_sha256 | 7a99db2f37c45efe719b0de34a7eb54b63e33c0bf66059020af424799e70f756 |
| hash_sha256 | 58d150a4bc026ac1320c18dad149e9a70fd0223377742fa6c5af3fc79ffa47c4 |
| hash_sha256 | 2113df6dcbc5b7ec63ea4e50609dd5d210ffcaafe7d0f76ae99fe63ea970fbe6 |
| domain | blancharl[.]icu |
| hash_sha256 | 15a4fc6c055faab1a1fee79d5e53bdb34ce4ab6631ff6110f46aeaa74a3a6f3d |
| hash_sha256 | fb48f55e9e2b1ef2d904b0f06547ce698bcb151b43dd032fc7257a7c0f940bd4 |
| hash_sha256 | 541677c2ce44edbb6241907c36463e6ded77a9d7cdb48ceb4113f1111ad2f9e8 |
| hash_sha256 | 39da1a494bad2f267e85fa0da9ba6c2387ddf597ebcdf37c2ab257a6a4cbc73e |
| hash_sha256 | af5961fcfda7a5547713454710574062dcccc9c0f91971e2303875395dba2980 |
| url | hxxp[://]150[.]109[.]94[.]129:443/?h=150[.]109[.]94[.]129&p=443&t=ws&a=l64&stage=true |
| domain | chilloutvrmod[.]org |
| domain | roz3b4iqyrt6[.]wiestonunanasikasar[.]win |
| hash_sha256 | 5191cf625dfc209a347f137b50aea199e82040fd5ee9086fb3e2de73c133f3cb |
| hash_sha256 | 94ffe61fb9619a00d8c1066dc8728df2af733f0b9ca8783a93ecbe1e52e59562 |
| hash_sha256 | 12651a9b77448b0bc439f301d24fc52cd331705f10cb58103f48a1d8b02caea2 |
Источники
- Meet IClickFix: a widespread framework using the ClickFix tactic — Sekoia
- ClickFix Attacks — U.S. Department of Health and Human Services, Health Sector Cybersecurity Coordination Center · 2024-10-29
- Vidar Malware Analyst Note — U.S. Department of Health and Human Services, Health Sector Cybersecurity Coordination Center · 2024-07-02
- ClickFix Campaigns Targeting Windows and macOS — Recorded Future
- ClickFix Campaign Uses Fake macOS Utilities to Deliver Infostealers — RH-ISAC
Проверьте сценарий обнаружения на своих событиях
Покажем, как связать индикаторы, события и контекст расследования в рабочем процессе SOC.