Angreppsteknik
ClickFix / TerminalFix (Social manipulation via kommandotolken)
En sofistikerad nätfisketeknik där falska webbsidor eller CAPTCHA-rutor lurar användaren att trycka Win+R, klistra in ett kommando och trycka Enter för att 'lösa ett verifieringsproblem', vilket kör skadlig kod i bakgrunden.
🔬 Forensisk Betydelse & Utredningsmetodik
Kräver granskning av PowerShell Operational Log (Event ID 4104), kommandohistorik (ConsoleHost_history.txt) och Windows RunMRU i registret för att återskapa kommandot som offret klistrade in.
🛠️ Praktiska Triage- & Analyskommandon (Cheat Sheet)
⚡ Granska PowerShell Script Block Logging för nyligen körda skript
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-PowerShell/Operational'; Id=4104} -MaxEvents 20 | Format-List TimeCreated, Message
Avslöjar den exakta PowerShell-koden som injicerades via kommandotolken eller Run-dialogen.
⚙️ Tekniska Parametrar & Verktygsstöd
- Forensiska verktyg:
- MITRE ATT&CK:
T1204.002 ↗ - Relevanta Event ID:n:
4104,4688
🔍 Förekomst i Forensix Intelligence & Fallstudier
📰 Dold Meta Muse-inställning låter skadlig kod förvandla Metas Mac-AI till en smygande bakdörr
📰 Forensix Dagsbriefing: 2026-09-05 — Samlad Lägesbild & Teknisk Analys
📰 Microsoft slår larm om TerminalFix: Angripare etablerar dolda reverse-tunnlar
📰 TerminalFix utnyttjar falska Cloudflare-CAPTCHA för att installera bakdörrar
📰 TerminalFix campaign deploys reverse tunnels through multistage intrusion chain