Нова кампания ClickFix показва как едно действие с copy-paste може да отвори врата към дадено устройство и мрежата около него. Според репортаж на GBHackers, кампанията използва компонент, наречен Lorem Ipsum Loader, за да инсталира базиран на Python тунелиращ имплант, давайки на атакуващите скрит път към жертвите. Тази верига от ClickFix атака с тунелиращ имплант е полезно напомняне, че някои от най-ефективните атаки изобщо не експлоатират софтуерни уязвимости. Те разчитат на убеждаването на човек сам да изпълни кода.
Изходният доклад е кратък, затова тази статия се придържа към това, което е потвърдено: методът на доставяне, loader-ът и видът на въвлечения имплант. Когато детайли не са налични, ние го казваме.
Как ClickFix заблуждава хората да се заразят сами
ClickFix е техника за социално инженерство. Вместо да достави зловреден софтуер чрез очевидно изтегляне, атакуващият показва на жертвата подкана, която изглежда като рутинно решение на проблем. На потребителя се казва да копира команда и да я постави в системен прозорец, като например диалоговия прозорец Run на Windows или терминал. Тъй като потребителят извършва действието, тази стъпка може да заобиколи защити, предназначени да хващат подозрителни изтегляния или прикачени файлове.
Ъгълът, който прави този подход ефективен, е простотата. Няма странен инсталатор, който да поставите под въпрос. Човек просто следва това, което изглежда като инструкция за отстраняване на проблем. В тази кампания поставената команда е това, което стартира веригата на заразяване, водеща до Lorem Ipsum Loader.
Какво правят Lorem Ipsum Loader и тунелиращият имплант
Loader е малка програма, чиято основна задача е да внесе нещо друго. Тук Lorem Ipsum Loader инсталира базиран на Python тунелиращ имплант. Имплантът е софтуер, оставен да работи на компрометирана машина, за да могат атакуващите да поддържат достъп във времето.
Тунелирането означава създаване на канал, който пренася трафик между заразеното устройство и система, контролирана от атакуващия. На практика това може да даде на атакуващия скрит път към машината на жертвата и потенциално начин да достигне до други ресурси, които устройството вижда. Докладът описва резултата като скрит път към жертвите, което е основният риск: активността на атакуващия може да се слее с нормалните връзки на устройството.
Източникът не предоставя допълнителни технически подробности, като например броя на жертвите, инфраструктурата зад кампанията или кой е отговорен, затова няма да спекулираме по тези точки.
Защо тунелиращият имплант е важен за вашата поверителност
Тунелиращият имплант е притеснителен заради това, между какво може да се разположи. Устройство в домашна или офис мрежа може да има достъп до лични файлове, запазени сесии, вътрешни инструменти, споделени дискове и други свързани устройства. Ако атакуващият има скрит канал към тази машина, устройството може да се превърне в трамплин, а не просто в една единствена точка на компрометиране.
Ето защо една грешка с copy-paste може да има последици отвъд един лаптоп. Такъв вид достъп може да подкопае поверителността на всичко, до което устройството се докосва. За служителите това може също да повиши риска за системите на работодателя, достъпни от домашна или отдалечена среда.
Това е подобен модел на други случаи, в които обикновени уеб инструменти се обръщат срещу потребителите. Например наскоро разгледахме как зловредни Chrome разширения бяха хванати да крадат крипто данни, друг случай, в който нещо, изглеждащо рутинно, се превръща във входна точка.
Какво означава това за вас
Ключовият момент е, че вие сте мишената на трика, а не само вашият софтуер. Напълно актуализиран компютър все още може да бъде компрометиран, ако бъдете убедени да изпълните зловредна команда. Всеки, който използва компютър и се сблъсква с уеб страници, изскачащи прозорци или фалшиви подкани за проверка и грешки, може да бъде изложен на такъв вид примамка.
Добрата новина е, че защитата е проста и в рамките на вашия контрол. Атаката зависи от едно действие и отказът да го извършите прекъсва веригата.
Предупредителни знаци и как да се защитите
Следете за тези червени флагове:
- Уеб страница ви моли да копирате текст и да го поставите в диалоговия прозорец Run, Terminal или PowerShell, за да „поправите“ проблем или да „потвърдите“, че сте човек.
- Инструкциите ви казват да натиснете клавишни комбинации, които отварят системен команден прозорец.
- Подкана създава спешност, твърдейки, че нещо ще се счупи или ще бъде блокирано, освен ако не действате незабавно.
- Виждате необясними Python процеси или непозната фонова активност, след като сте следвали такава инструкция.
Ако смятате, че сте изпълнили подозрителна команда, изключете устройството от мрежата, стартирайте пълно сканиране с надеждна endpoint защита и сменете важните пароли от друго, чисто устройство. Ако машината се използва за работа, уведомете своевременно вашия IT или екип по сигурност.
Основни изводи
Кампанията ClickFix атака с тунелиращ имплант е напомняне, че едно единствено поставяне може да обезсили много добри навици за сигурност. За да намалите риска:
- Никога не поставяйте команди от уеб подкана в терминал или диалоговия прозорец Run, освен ако не ги разбирате напълно и не се доверявате на източника.
- Поддържайте операционната си система и софтуера актуализирани и използвайте endpoint защита, която може да сигнализира за подозрително поведение.
- Отнасяйте се с подозрение към спешни подкани за „поправка“ и „проверка“ и вместо това затворете страницата.
- Поддържайте мрежовата хигиена в перспектива. VPN може да бъде един полезен слой за защита на трафика ви, но не спира зловреден софтуер, който сами изпълнявате на устройството си.
За друг пример за злоупотреба с ежедневни уеб инструменти прочетете нашия доклад за зловредни браузър разширения, крадящи крипто данни, и останете скептични към всяка подкана, която ви кара да свършите работата на атакуващия вместо него.
