Entdeckt hat SOCRadar DOUBLECUP bei der Untersuchung eines offenen Verzeichnisses unter 213[.]139.77[.]109:9090, in dem Testdateien lagen. Dieselbe IP-Adresse wurde später laut dem Bericht auch als Host des Lizenzierungs-Panels des Dienstes identifiziert.
Für einen Angriff konfiguriert ein DOUBLECUP-Kunde über die Go-basierte Windows-Anwendung unter anderem die Domain der Kampagne, den URL-Pfad, die Methode zur Steganografie, den Einbettungstyp, die gewünschte Ausführungsaktion und die Speicherorte der Nutzlasten. Daraus entsteht ein API-Endpunkt für die Konfiguration, der die URL und Dateigröße des steganografischen Bildes, einen Session-Endpunkt sowie angepasste Befehle für Chrome, Edge, Firefox, Brave und Opera zurückliefert.
Anschließend binden die Betreiber den von DOUBLECUP erzeugten Code in ihre ClickFix-Seiten ein. Dieser ruft die Konfiguration ab, lädt das präparierte Bild vorab in den Browser-Cache des Opfers, registriert die Sitzung, wählt den zum Browser passenden Befehl aus und kopiert ihn beim Öffnen der Seite in die Zwischenablage.
In einem neuen Bericht beschreibt SOCRadar beobachtete DOUBLECUP-Kampagnen mit gefälschten CAPTCHA-Aufforderungen auf Login-Seiten, die sich als NetSuite, Odoo, HubSpot und Salesforce ausgaben. Der schädliche Code wurde dabei über eingebettete iframes geladen. Besucht ein Opfer eine solche Seite, registriert DOUBLECUP die Sitzung, ermittelt die öffentliche IP-Adresse des Besuchers und zwingt den Browser dazu, ein bösartiges PNG-Bild herunterzuladen und im Cache abzulegen.
Danach zeigt die Seite Anweisungen im Stil eines CAPTCHA an, die Besucher dazu bringen sollen, einen automatisch in die Zwischenablage kopierten Befehl einzufügen und auszuführen. Nach der Ausführung durchsucht der Befehl den Browser-Cache anhand der exakten Dateigröße nach dem PNG und nutzt findstr oder certutil, um die in dem Bild verborgene Nutzlast der ersten Stufe zu extrahieren und zu starten.
Diese erste Nutzlast startet einen dateilosen Dropper der zweiten Stufe. Er ruft die öffentliche IPv4-Adresse des Opfers ab und verwendet sie zur Erzeugung eines Entschlüsselungsschlüssels für die abschließende verschlüsselte Nutzlast. Nach einer Prüfung gegen einen fest einkodierten SHA-256-Hash wird die entschlüsselte Nutzlast laut SOCRadar direkt im Arbeitsspeicher ausgeführt. Als finale Nutzlasten beobachtete SOCRadar CountLoader und den neuen DeviceManager-RAT.
SOCRadar identifizierte zwei über DOUBLECUP verteilte Malware-Familien: eine aktualisierte Version von CountLoader für Windows und macOS sowie einen nach Einschätzung der Forscher zuvor nicht dokumentierten DeviceManager-RAT. CountLoader sammelt Informationen über infizierte Systeme, prüft auf Anwendungen und Browser-Erweiterungen für Kryptowallets, ermittelt, ob Signal Desktop installiert ist, und richtet Persistenz über geplante Aufgaben ein. Zudem kann die Malware Dateien nachladen und ausführen, darunter MSI-Pakete, PowerShell-Module und DLLs.
SOCRadar sicherte auch eine macOS-Version für Intel- und Apple-Silicon-Systeme. Diese installiert für Persistenz einen LaunchAgent und nutzt Bordmittel wie curl, sw_vers, system_profiler und ioreg für die Kommunikation mit von Angreifern kontrollierten Servern.
DeviceManager ist laut Bericht ein modularer, Python-basierter Windows-RAT, der Blockchain-Smart-Contracts verwendet, um die IP-Adresse seines Command-and-Control-Servers zu bestimmen. In Ländern außerhalb der Gemeinschaft Unabhängiger Staaten sammelt die Malware Maschinen-GUID, Datenträgerkennung, Benutzer-SID, Hostnamen, Benutzernamen, Betriebssystemversion, Architektur, installierte Antivirensoftware und Domäneninformationen. Für die Ermittlung der aktuellen C2-Adresse nutzt sie eine als EtherHiding bekannte Technik über einen Smart Contract auf Ethereum oder Polygon. Außerdem verwendet der RAT DNS-A- und TXT-Einträge, um Systeminformationen zu exfiltrieren, Befehle abzurufen, weitere Nutzlasten herunterzuladen und Befehlsausgaben an die Angreifer zurückzusenden.
SOCRadar weist darauf hin, dass ClickFix-Angriffe mit Steganografie nicht neu sind. Huntress hatte bereits Kampagnen dokumentiert, bei denen LummaC2- und Rhadamanthys-Nutzlasten in den Pixeldaten von PNG-Bildern verborgen wurden.