- „ClickFix“ apgaule priverčia vartotojus rankiniu būdu vykdyti kenkėjiškas komandas per iškarpinę ir „Windows“ vykdymo langą.
- Jis naudoja masalus, tokius kaip netikros naršyklės klaidos, CAPTCHA arba atnaujinimų pranešimai, kad apgautų auką ir priverstų ją suklysti.
- Jis platina įvairias grėsmes – nuo informacijos vagių (informacijos vagių) iki nuotolinės prieigos Trojos arklių ir išpirkos reikalaujančių programų.
Esu tikras, kad jums taip jau yra nutikę: ramiai naršote ir staiga pasirodo iššokantis langas, kuriame pranešama, kad jūsų naršyklė pasenusi arba kad yra problemų su mikrofonu programoje „Zoom“. Iš pirmo žvilgsnio tai atrodo nereikšminga, tačiau čia ir praverčia „ClickFix“ – pastaruoju metu labai išpopuliarėjusi socialinės inžinerijos gudrybė, leidžianti nepastebimai į kompiuterius įstumti virusus.
Pavojingiausia tai, kad tai ne failas, kurį atsisiunčiate ir atidarote; kibernetiniai nusikaltėliai apgaule priverčia mus patiems paleisti kenkėjišką kodą . Iš esmės jie priverčia mus atlikti savo purviną darbą, kol mes manome, kad sprendžiame techninę problemą, taip apeidami daugumą tradicinių antivirusinių programų, kurios ieško tik įtartinų failų.
Kas tiksliai yra „ClickFix“ sukčiavimas?
Ši technika pagrįsta netikrų įspėjimų, imituojančių sistemos klaidas, CAPTCHA patvirtinimų arba gerai žinomos „Cloudflare“ sistemos naudojimu. Tikslas – sukurti skubos ar poreikio jausmą, kad vartotojas spustelėtų mygtuką, paprastai pavadintą „Ištaisyti“ arba „Ištaisyti problemą “. Paspaudus šį mygtuką, nutinka kažkas nematomo: naršyklė automatiškai nukopijuoja kenkėjišką komandą į kompiuterio iškarpinę.
Nukopijavus kodą, užpuolikas žingsnis po žingsnio veda mus jo vykdymo procese. Paprastai jie nurodo paspausti „Win+R“ , įklijuoti turinį („Ctrl+V“) ir paspausti „Enter“. Tai atlikus atidaromas „Windows“ dialogo langas „Vykdyti“ ir paleidžiamas „PowerShell“ scenarijus su mūsų vartotojo teisėmis, leidžiantis kenkėjiškai programai įdiegti save tiesiai į kompiuterio atmintį , apeinant įrašymą į diską ir todėl daugeliui kenkėjiškų programų, kurios lieka neaptiktos.
Susiję variantai ir taktika: „FileFix“ atvejis
Nors „ClickFix“ yra geriausiai žinoma versija, atsirado evoliucija, vadinama „FileFix“ . Pagrindinis skirtumas yra tas, kad šis metodas apgauna mus, kad įklijuotume kodą į failų naršyklės adreso juostą , o ne naudojame dialogo langą „Vykdyti “. Kadangi tai įrankis, kurį naudojame nuolat ir su kuriuo esame susipažinę, žmonės neįtaria, kad „Explorer“ taip pat gali vykdyti sistemos komandas.
„FileFix“ programoje užpuolikai dažnai naudoja vizualinius triukus, pavyzdžiui, prieš kenkėjišką kodą prideda daug tarpų . Tokiu būdu adreso juostoje rodoma tik kelio pabaiga (kuri atrodo kaip PDF failas arba teisėtas dokumentas), bet paspaudus „Enter“ įvykdomas visas kenkėjiškas paketas, paslėptas kairėje.
Šiuo metodu platinamų kenkėjiškų programų tipai
Ši pristatymo sistema yra tarsi „taksi“, galintis gabenti bet kokį kenkėjišką krovinį. Yra užfiksuota atvejų, kai įdiegiamos informacijos vagystės, tokios kaip „Lumma Stealer“, „Vidar“ arba „StealC“ , kurių vienintelis tikslas – vogti slaptažodžius, sesijos slapukus ir kriptovaliutų piniginės raktus. Taip pat naudojami nuotolinės prieigos Trojos arkliai (RAT), tokie kaip „NetSupport RAT“ arba „AsyncRAT“ , suteikiantys užpuolikui visišką kompiuterio kontrolę.
Be to, atsirado agresyvesnių kampanijų, kuriose naudojamos išpirkos reikalaujančios programinės įrangos, tokios kaip „Qilin“ ar „Interlock“ , kurios šifruoja failus ir reikalauja išpirkos, arba rootkitai, kurie slepiasi giliai operacinėje sistemoje. Kai kurios Šiaurės Korėjos grupuotės netgi naudojo „ClickFix“ suklastotuose kriptovaliutų bendrovių darbo skelbimuose , siųsdamos techninius testus, kurie iš tikrųjų buvo spąstai, skirti užkrėsti kandidatus.
Realus poveikis ir atvejai Lotynų Amerikoje
Tai nėra teorinė grėsmė; ji jau užklupo svarbias institucijas. Lotynų Amerikoje pranešta apie išpuolius Čilės katalikų universitete ir Peru policijos būsto fonde, naudojant sistemą, vadinamą „ClearFake“. Ši sistema į teisėtas nulaužtas svetaines įterpia „JavaScript“, todėl oficialus puslapis atrodo užstrigęs ir vartotojas yra priverstas atlikti kenkėjišką „taisymą“.
Šis virusas yra pasaulinio masto ir paveikia tokius svarbius sektorius kaip finansinės paslaugos, gamyba ir vietos valdžia . Užpuolikai dažnai išnaudoja rašybos klaidų taisymą, kurdami domenus, kurie yra labai panašūs į teisėtus (pvz., iplogger[.]co, o ne iplogger[.]org), kad nukreiptų aukas į šiuos suklastotus patvirtinimo puslapius.
Kaip atpažinti ir išvengti patekimo į spąstus
Geriausia gynyba – tiesiog sveikas protas. Jokia naršyklė, vaizdo skambučių programa ar teisėta saugumo svetainė niekada neprašys atidaryti „PowerShell“ ar terminalo, kad ištaisytumėte klaidą. Jei matote instrukcijas, kuriose prašoma nukopijuoti ir įklijuoti keistą kodą į dialogo langą „Vykdyti“ arba failų naršyklę, nedelsdami nustokite naršyti ir uždarykite skirtuką.
Techniškai išprususiems vartotojams ar sistemos administratoriams šios atakos palieka pėdsakus. Vienas iš jų yra „RunMRU“ registro raktas , kuriame „Windows“ saugo paskutines komandas, įvykdytas naudojant „Win+R“. Jei ten rodomos užmaskuotos teksto eilutės arba skambučiai į nežinomus domenus, labai tikėtina, kad kompiuteris buvo pažeistas. Taip pat labai svarbu nuolat atnaujinti operacinę sistemą ir naudoti dviejų veiksnių autentifikavimą, kad būtų sumažinta žala, jei būtų pavogti prisijungimo duomenys.
Norint išlikti saugiems, svarbiausia būti atsargiems dėl bet kokių skubių pranešimų, kurie verčia mus atlikti rankinius veiksmus sistemos konsolėje. Skaitmeninio raštingumo, naujausių kenkėjiškų programų prevencijos sprendimų naudojimo ir atsargumo naršant nežinomose svetainėse derinys yra veiksmingiausia apsauga nuo šių vagysčių, kuriomis siekiama paversti mus netyčias savo pačių infekcijos bendrininkais.