DOUBLECUP : ClickFix + versteckte PNGs zur Lieferung von CountLoader und DeviceManager RAT

Eine neue bösartige Kampagne mit dem Namen DOUBLECUP nutzt die ClickFix-Technik und zwischengespeicherte PNGs, um zwei Malware-Varianten zu verbreiten: CountLoader und DeviceManager RAT. Analyse eines zweistufigen Angriffs.

Was

The Hacker News berichtet über eine aktive Kampagne namens DOUBLECUP – ein neuer Loader-as-a-Service (LaaS) russischer Herkunft – die zwei Techniken kombiniert, um ihre Payload zu liefern: ClickFix (Social Engineering vom Typ „Kopieren Sie diesen Befehl, um das Problem zu beheben“) und im Browser zwischengespeicherte PNG-Dateien, um die Payload zu verbergen und zu liefern.

Das Endziel: die Installation von zwei verschiedenen Malware-Programmen, CountLoader und DeviceManager RAT (Remote Access Trojan, bisher undokumentiert).

Funktionsweise

DOUBLECUP läuft in zwei klar getrennten Schritten – daher der Name:

1. ClickFix – der Social Engineering-Haken + das Caching Das Opfer landet auf einer bösartigen Seite, die es auffordert, ein „Problem zu lösen“, indem es einen Befehl in das Terminal oder PowerShell kopiert. Doch dieser Köder ClickFix sorgt auch dafür, dass bösartige PNG-Dateien im Browser des Opfers zwischengespeichert werden – transparent und ohne weitere Aktion. Diese PNG-Dateien enthalten die Payload via Steganografie (Payload in Bilddaten versteckt).

2. Ausführung der Kette Der ClickFix-Befehl führt die erste Komponente aus, die die zwischengespeicherten PNG-Dateien nutzt, um CountLoader zu installieren. CountLoader lädt anschließend DeviceManager RAT, das einen vollständigen Remote-Zugriff auf den kompromittierten Rechner ermöglicht.

Betroffene

Jeder, der Befehle zur „Fehlerbehebung“ ausführt, die auf einer Webseite gefunden oder über eine Nachricht erhalten wurden. Klassische Ziele von ClickFix: Windows-Nutzer, Entwickler, IT-Techniker – Profile, die sich mit Terminals auskennen und daher weniger vorsichtig sind.

Was zu tun ist

• Befehle, die aus einer Webseite kopiert wurden, niemals ausführen, ohne sie vollständig zu verstehen
• IT-Teams sensibilisieren: ClickFix zielt gezielt auf Menschen ab, die sich mit Terminals auskennen
• EDR/AV-Regeln überprüfen, um das Laden von PNG-Dateien gefolgt von Codeausführung zu erkennen

Jetzt handeln: Ausführung nicht signierter Skripte in PowerShell blockieren (Set-ExecutionPolicy RemoteSigned). Und Teams darin schulen, ClickFix zu erkennen – die beste Verteidigung gegen Social Engineering bleibt das Wissen über die Angriffsmethode.