OneClik-malware gemmer sig i almindeligt syn

En ny type cyberindtrængen

Cybersikkerhedseksperter har afsløret en meget målrettet malwarekampagne kendt som OneClik . Denne operation er ikke et typisk scattergun-angreb – det er en fokuseret indsats rettet direkte mod værdifulde industrier som energi, olie og gas. Det, der gør OneClik bemærkelsesværdigt, er dets brug af Microsofts ClickOnce -teknologi, et legitimt værktøj designet til at gøre softwareudrulning problemfri for brugerne. I stedet har angriberne forvandlet det til et våben til stille og roligt at levere bagdøre til kritiske systemer.

At leve af landet: Angribernes undvigelsesstrategi

I stedet for at stole på støjende malware, der udløser alarmer, har OneClik en mere subtil tilgang. Kampagnen stemmer overens med en bredere branchtrend kendt som "living-off-the-land"-teknikker – hvor man bruger pålidelige systemværktøjer og platforme til at fungere uopdaget. Angriberne blander ondsindede processer ind i normale virksomhedsarbejdsgange, hvilket gør det ekstremt vanskeligt at opdage dem. Selvom nogle karakteristika tyder på forbindelser til kinesisk-tilknyttede trusselsgrupper, er sikkerhedsanalytikere fortsat forsigtige med at placere skylden.

Fra phishing til fuld kontrol

Angrebskæden begynder med en bedragerisk simpel phishing-e-mail. Ofrene omdirigeres til en falsk hjemmeside, der efterligner et legitimt hardwareanalyseværktøj. Når denne hjemmeside besøges, leverer den lydløst en ClickOnce-applikation. Selvom dette kan virke harmløst, er applikationen faktisk en .NET-baseret loader, der udløser en kompleks kæde af begivenheder. I midten af denne kæde er en kraftig bagdør kendt som RunnerBeacon .

RunnerBeacon: Kerneimplantatet

RunnerBeacon er bygget med programmeringssproget Go og er designet til at være stealth og alsidigt. Det kommunikerer med sine operatører ved hjælp af forskellige protokoller, herunder HTTPS, rå TCP og endda Windows-navngivne pipes. Dette gør det muligt for malwaren at udføre en bred vifte af aktiviteter: læse og ændre filer, scanne interne netværk, udføre shell-kommandoer, stjæle tokens til privilegieeskalering og bevæge sig lateralt gennem netværket. Det er ikke bare et fodfæste - det er et værktøjssæt til dyb systemkompromittering.

Ingen administratorrettigheder kræves: Hvorfor ClickOnce er vigtigt

Et af kampagnens smarteste tricks ligger i dens misbrug af ClickOnce. Denne Microsoft-teknologi bruges typisk til at installere software uden behov for administratorrettigheder. Angribere udnytter dette til at starte deres malware uden at udløse røde flag eller bede om mistænkelige tilladelser. Den ondsindede app kører gennem en betroet Windows-proces, dfsvc.exe, og bruger en sjældent set taktik kendt som AppDomainManager-injektion til at udføre krypteret shellcode i hukommelsen – hvilket gør retsmedicinsk gendannelse vanskelig.

Ikke en engangsforeteelse: Udviklende varianter i naturen

Dette er ikke en enkeltstående malware-stamme – det er en voksende familie. Sikkerhedsforskere har identificeret adskillige OneClik-varianter, der dukkede op alene i 2025, hvor hver version var mere raffineret end den forrige. Navne som v1a , BPI-MDM og v1d indikerer et modnende værktøjssæt designet til undvigelse og vedholdenhed. Faktisk kan tidligere observationer af RunnerBeacon-bagdøren spores tilbage til 2023, hvilket peger på en kampagne, der har fungeret og udviklet sig stille og roligt over tid.

Bredere implikationer: Hvad dette betyder for virksomheder

Konsekvenserne af OneCliks aktivitet er betydelige. Dens evne til at flyve under radaren, undgå krav om eskalering af privilegier og operere inden for betroede systemer gør den særligt farlig for brancher, der er afhængige af ældre systemer eller minimal endpoint-beskyttelse. Traditionelle antivirusværktøjer og firewalls fanger det muligvis ikke. Organisationer i infrastruktursektorer skal overveje, om deres nuværende forsvar kan klare denne type angreb.

Her er nogle vigtige tegn, der kan tyde på en OneClik-lignende indtrængen:

• Usædvanlig udgående trafik til AWS eller andre cloudtjenester
• Ukendte underprocesser til dfsvc.exe
• Brug af AppDomainManager eller mistænkelige .NET-assembleringer
• Gradvise opgraderinger af privilegier uden advarsler

Et globalt mønster: Forbindelser til andre trusselsaktører

Selvom årsagen til problemet stadig er uklar, har forskere bemærket ligheder mellem OneCliks teknikker og dem, der anvendes af statsforbundne grupper i Nordøstasien. En kampagne fra en gruppe kendt som APT-Q-14 udnyttede også ClickOnce-applikationer, denne gang ved at udnytte en zero-day XSS-fejl i en webbaseret e-mailtjeneste til at installere malware uden klik overhovedet. Overlapningen i taktikker tyder på enten fælles værktøjer eller en fælles strategi blandt regionale trusselsaktører.

Tilpasningsevne er det nye våben

Det, der adskiller OneClik fra traditionel malware, er dens fleksibilitet. Den er ikke afhængig af blockbuster-sårbarheder eller brute-force-metoder. I stedet tilpasser den sig. Den bruger pålidelige platforme som AWS, skjuler sin kommunikation og udvikler sig i realtid. Dette er symbolsk for et bredere skift i cybertrusler: væk fra volumen og hen imod stealth og præcision.

Afsluttende tanker

OneClik-kampagnen er en klar påmindelse om, at selv legitime teknologier kan genbruges til ondsindede formål. For sikkerhedsteams betyder det at se ud over overfladisk beskyttelse og investere i adfærdsanalyse, anomalidetektion og avanceret overvågning. Da trusselsaktører ikke holder op med at forfine deres metoder, skal forsvarere matche dem i agilitet og indsigt. Fremtiden for cybersikkerhed ligger i at forstå ikke kun, hvad angribere gør – men hvor stille og roligt de gør det.