Всем привет! 💻✌️

ClickFix уже многим успел надоесть, однако атакующие продолжают активно продвигать этот метод

Кто-то ещё не заблокировал запуск окна Выполнить ⌨️

👨‍💻 Как это работает?
Атакующие резолвят определенный домен через подконтрольные DNS сервера. Ответ сервера парсится и передается на выполнение LOLBins

🔭 Обнаружение:
🔤 отключаем Выполнить
🔤 хантим RunMRU и мониторим создание новых ключей
🔤 разрешаем подключение только к доверенным DNS-серверам
🔤 хантим DNS-ответы

#detection@detectioneasy
#ttp@detectioneasy