Een nieuwe loader-as-a-service, DOUBLECUP ClickFix, laat zien hoe creatief aanvallers misbruik maken van webverkeer. In plaats van malware direct te downloaden, werken de campagnes met click-gestuurde lokbanners (ClickFix) en steganografische PNG’s die in de browsercache terechtkomen. Daarna wordt de volgende payload uit de afbeelding gehaald en uitgevoerd, met als einddoel onder meer CountLoader en een nog niet eerder gedocumenteerde DeviceManager-RAT.
Onderzoekers van SOCRadar beschrijven een keten waarin elke stap draait om verhullen, vertraging en het omzeilen van detectie. Met name de combinatie van browsercache-extractie, decryptie in het geheugen en een C2-aanpak die robuust is tegen verstoringen, maakt deze aanpak interessant — en relevant voor organisaties die hun webtoegang en endpointbeveiliging op orde willen hebben.
DOUBLECUP ClickFix als loader-as-a-service
DOUBLECUP wordt sinds begin juni 2026 actief ingeschat. De service is opgezet voor operators die met licenties werken: per licentie krijgen zij een unieke sleutel en bijbehorende metadata, zoals het IP-adres van de klant, actieve dagen, een label en een versienummer. Meerdere campagnes zouden per licentie kunnen worden aangestuurd.
Wat deze dienstverlening praktisch maakt, is dat operators een client agent ontvangen om campagnes te bouwen en benodigde code in hun eigen ClickFix-landingpages in te embedden. Op die manier hoeft de operator niet telkens vanaf nul te ontwerpen; hij richt vooral de decoy- en afleveringslogica in.
Van ClickFix-decoy naar PNG in de browsercache
De eerste fase start met het plaatsen van een steganografische PNG in de browsercache. De content die daarin verborgen zit, wordt later opgehaald en als basis gebruikt voor de volgende stap. In de kern geldt: de browser fungeert als opslag en “transportlaag”.
Na het ophalen van de verborgen inhoud voert de tweede fase het vervolg uit. Dit gebeurt volgens SOCRadar met decryptie in het geheugen. Daarbij wordt een combinatie gebruikt van een aangepaste stroomversleuteling in Counter (CTR)-modus en een bitwise XOR-stap. Cruciaal is de sleutel: die wordt afgeleid met behulp van het publieke IP-adres van het slachtoffer.
Concreet betekent dit dat de kans groot is dat dezelfde payload op een ander systeem niet correct decodeert, omdat het doelwit een andere IP-seed oplevert. Dat is een vorm van omgevingsafhankelijk gedrag die analyse bemoeilijkt.
CountLoader en DeviceManager: twee eindproducten
DOUBLECUP levert minimaal twee families/varianten:
- CountLoader: een loader met varianten voor Windows en macOS.
- DeviceManager: een modulaire Python-gebaseerde RAT (remote access trojan) die als tweede payload in de keten optreedt.
CountLoader: van recon naar persisteren
CountLoader richt zich op systeemmetadata verzamelen en exfiltratie van informatie, waarna het wacht op extra instructies van de operator. De loader kan daarnaast secundaire onderdelen uitvoeren, waaronder DLL’s, MSI’s, HTML Applications (HTA’s) en gecomprimeerde archieven waarvan de inhoud wordt uitgepakt en uitgevoerd.
Qua persisteren beschrijft SOCRadar een Windows-functie met scheduled tasks. Ook gaat CountLoader de geïnstalleerde browsers en extensies langs. Daarbij kijkt het specifiek naar audit van browser-extensies die met cryptowallets te maken hebben, en het profielen van een host op de aanwezigheid van Signal Desktop.
Er is bovendien een browser-shortcutfunctie die .LNK-bestanden in desktop en startmenu zoekt voor populaire browsers. Vervolgens zou de malware de doelverwijzing herschrijven zodat bij dubbelklikken de browser én de RAT heimelijk samen opstarten. Opvallend: onderzoekers melden dat deze routine bij hun observaties niet werd aangeroepen. Dat wijst mogelijk op onafgemaakte functionaliteit of “dead code”.
Een ander kenmerk is dat er cleanup-gedrag is ingebouwd: persisterende mechanismen zouden worden verwijderd om sporen in forensics te verkleinen.
DeviceManager: EtherHiding en C2-resolutie
De tweede payload, DeviceManager, gebruikt EtherHiding om de C2-infrastructuur te bepalen. In plaats van één vaste servernaam te gebruiken, lost de malware via Ethereum/Polygon smart contracts dynamisch actieve C2-nodes op voordat communicatie wordt gestart.
De communicatie met het command-and-control netwerk verloopt vervolgens via DNS of HTTP. Ook verzamelt de RAT veel device-informatie, pollt op taken, downloadt payloads en rapporteert de status van uitgevoerde acties.
DeviceManager wordt volgens SOCRadar verspreid als een Delphi-compiled Inno Setup-installer die een encrypted payload embedt. Na het starten wordt een volledig ingebedde Python-omgeving uitgepakt om de Python-malware te laten draaien.
Verder kiest de malware bewust targets: hij vermijdt uitvoering op systemen die lijken te vallen onder specifieke CIS-taalinstellingen. Als zo’n locale wordt gedetecteerd, activeert DeviceManager een zelfverwijderingsroutine: scheduled task weghalen, installatiepad verwijderen via cmd.exe, en daarna stoppen.
Hoe operators de campagne technisch instellen
Om DOUBLECUP ClickFix te laten werken, moeten operators hun ClickFix-site aanpassen met extra frontend-code. Die code haalt een configuratie-endpoint op, start prefetching van de steganografische afbeelding, registreert een sessie en kiest vervolgens per browser de juiste commands.
SOCRadar beschrijft dat de configuratie vanaf een endpoint loopt in het patroon:
https://{domain}/{slug}/api/config
Een GET-verzoek naar dit endpoint levert de campagneconfiguratie, inclusief:
- de URL naar de steganografische afbeelding op het doel-domein
- de afmetingen van de afbeelding
- een sessie-endpoint
- browser-specifieke commando’s voor Chrome, Edge, Firefox, Brave en Opera
De keten houdt ook rekening met de “click”-ervaring: ClickFix-instructies worden getoond, er wordt een browser-compatibele command gekopieerd naar het klembord en daarna volgt een polling-mechanisme om de finale redirect te triggeren.
Operators kunnen bovendien extra obfuscation of anti-analyse toevoegen. Die extra stappen liggen wel bij henzelf; DOUBLECUP levert vooral de basislogica en tooling.
Sturing en tracking via een Telegram-bot
Daarnaast gebruikt DOUBLECUP een Telegram-bot om clientbezoeken bij te houden, sleutels te leveren en callback-berichten te ontvangen via een aangewezen DOUBLECUP-URL. SOCRadar meldt ook dat de bot wordt beheerd door een actornaam en dat deze actor eerder een VS Code-extensie publiceerde in de officiële marketplace.
Voor defenders is dit geen “bewijs van intentie” op zichzelf, maar wel een indicatie dat dezelfde ecosystemen en tooling rond ontwikkelen en distributie worden ingezet bij malafide campagnes. Het benadrukt dat aanvalsoppervlakken vaak niet uit één bron voortkomen.
Impersonatie en uitvoering via nep-CRM loginpagina’s
In de campagnes waar onderzoekers naar keken, werden meerdere nepwebsites ingezet die CRM-login pagina’s imiteerden. Daarbij gaat het om sites die zich voordoen als onder meer NetSuite, Odoo, HubSpot en Salesforce.
De loader wordt via iframe-achtige elementen aangeleverd. Vervolgens kunnen ClickFix-commands, eenmaal uitgevoerd, in de browsercache zoeken naar de PNG en daaruit kwaadwillende JavaScript-, VBScript- of PowerShell-code extraheren. Daarmee wordt de weg vrijgemaakt voor de volgende fase.
Waarom dit soort ketens lastig te detecteren is
DOUBLECUP ClickFix combineert meerdere technieken die elkaar versterken:
- Steganografie verbergt instructies in ogenschijnlijk onschadelijke PNG’s.
- Browsercache-extractie laat de payload niet op de klassieke manier direct “downloaden en uitvoeren”.
- Decryptie met omgevingskeying maakt succesvolle decoding afhankelijk van het doelwit (publiek IP) en bemoeilijkt replay en analyse.
- C2-resolutie via blockchain (EtherHiding) helpt bij het vinden van actieve infrastructuur en kan blokkade of takedown compliceren.
Daarnaast zijn er aanwijzingen voor varianten en functies die persisteren, recon en cleanup combineren. Dat betekent dat ook incident response moet kijken naar zowel het begin van de keten (web/decoy) als het eindgedrag (loader-RAT, scheduled tasks, DNS/HTTP-bewegingen).
Praktische aandachtspunten voor organisaties
Hoewel de details per endpoint kunnen verschillen, is er een patroon dat organisaties kunnen aanpakken:
- Versterk webdefensie: beperk en filter verkeer naar verdachte domeinen en controleer op anomalieën rondom click-gedreven redirects en iframe-inhoud.
- Monitor browser-gedrag: let op processen of scripts die onverwacht starten na interacties met webpagina’s, vooral wanneer er steganografie-achtige downloads plaatsvinden.
- Endpoint detectie & respons: zoek naar sporen van scheduled tasks en naar verdachte script-engines (PowerShell/VBScript) die koppelen aan loader-gedrag.
- Let op DNS/HTTP tunneling: DeviceManager gebruikt zowel DNS als HTTP voor taakcommunicatie; afwijkende querypatronen zijn waardevol.
- Patch en hardening van tooling: beveiliging gaat niet alleen over “updates”, maar ook over het beperken van wat er mag draaien na webinteractie.
Als je breder wil kijken naar hoe supply-chain en webmisbruik elkaar kruisen, kan het helpen om ook cases te volgen zoals malafide npm-pakketten via supply chain. Hoewel dat een andere distributieroute is, toont het dezelfde kern: aanvallers zoeken betrouwbare schakels in moderne softwareketens.
Conclusie
DOUBLECUP ClickFix laat zien dat malwarelevering steeds vaker uit meerdere lagen bestaat: decoys op webpagina’s, steganografische PNG’s in de cache, decryptie in het geheugen en vervolgens payloads als CountLoader en DeviceManager. De inzet van EtherHiding via Ethereum/Polygon voor C2-resolutie maakt de keten bovendien veerkrachtiger.
Voor organisaties is de uitdaging om niet alleen naar “bekende malware” te kijken, maar ook naar de workflow ernaartoe: webinteractie, browsercache-afhandeling, scriptstart, persisterende mechanismen en meetbare netwerkpatronen. Wie die keten integraal monitort, verkleint de kans dat dit soort loader-as-a-service-aanpak ongemerkt door de verdediging glipt.
Bron: https://thehackernews.com/2026/08/doublecup-uses-clickfix-and-cached-pngs.html
