Nově zdokumentovaná kampaň ClickFix se v tichosti rozrostla do rozsáhlé sítě čítající více než 250 domén, které mají za cíl přimět uživatele Maců, aby si sami nainstalovali malware. Na této operaci není pozoruhodný jen její rozsah – útočníci používají otisk prohlížeče (browser fingerprinting), tedy stejnou sledovací techniku, na niž spoléhají inzerenti a datoví brokeři, aby rozhodli, komu se zobrazí škodlivá návnada a komu neškodná stránka.
Jak kampaň ClickFix zakrývá své stopy
Útoky ClickFix se řídí známým vzorcem: podvodný web sdělí návštěvníkům, že jejich prohlížeč nebo systém má chybu, a poté jim dá pokyn, aby zkopírovali a vložili příkaz do Terminálu a tím ji „opravili“. Tento příkaz ve skutečnosti nainstaluje malware, v tomto případě variantu napojenou na AMOS, známý infostealer pro macOS určený ke sběru uložených hesel, dat z prohlížeče a informací o kryptoměnových peněženkách.
Tuto kampaň odlišuje otiskování na straně serveru. Namísto toho, aby byla škodlivá návnada zobrazena každému návštěvníkovi, infrastruktura útočníků nejprve prověří podrobnosti o příchozím prohlížeči – věci jako rozlišení obrazovky, nainstalovaná písma, řetězec user‑agent a další jemné konfigurační signály – a teprve pak rozhodne, co se zobrazí. Bezpečnostní skenery, automatizovaní roboti a výzkumníci, kteří domény prověřují, obvykle uvidí čistou, nevýraznou stránku. Skuteční uživatelé Macu, kteří normálně procházejí web, jsou těmi, kdo jsou navedeni do pasti ClickFix.
Jde o významný posun v tom, jak malwarové kampaně unikají odhalení. Místo aby se spoléhaly pouze na zamlžený kód nebo domény s krátkou životností, používají operátoři pasivní identifikační techniky, aby si ještě před zahájením útoku přefiltrovali publikum. Podle dostupných informací se na kampani podílí více než 250 domén, takže má dostatečnou redundanci a odstranění jednotlivých stránek ji jako celek jen málo zpomalí.
Otisk prohlížeče: nástroj pro inzerenty i útočníky
Otisk prohlížeče není nic nového a sám o sobě není škodlivý. Weby a reklamní sítě používají podobné techniky už léta, aby sledovaly uživatele napříč relacemi, aniž by se spoléhaly na cookies. Tato kampaň ukazuje, jak lze tytéž pasivní profilovací metody využívané ke komerčnímu sledování přeměnit v nástroj k selektivní distribuci malwaru a zároveň k vyhýbání se detekci.
Stojí za to se na tuto překryv zamyslet. Pokaždé, když prohlížeč odhalí webu podrobné technické informace, vzniká příležitost, aby tato data byla použita způsoby, které návštěvník nikdy neočekával – ať už reklamní burzou, která si z nich vytváří profil, nebo v tomto případě provozovatelem malwaru, který se rozhoduje, koho stojí za to napadnout. Čtenáři, kteří se chtějí podrobněji seznámit s tím, jak funguje otisk prohlížeče a další sledovací mechanismy a co standardní nástroje pro ochranu soukromí dokážou a nedokážou zastavit, mohou ocenit, když si znovu prostudují co je VPN a jak funguje. Otisk prohlížeče je totiž jednou z metod sledování, kterou samotná VPN plně nezneutralizuje.
Proč na tom záleží i mimo macOS
Ačkoli tato konkrétní kampaň cílí na uživatele Maců infostealery typu AMOS, základní technika – použití otisku prohlížeče k selektivnímu maskování škodlivého obsahu před automatizovanou obranou – není vázaná na platformu. Odráží širší trend, kdy provozovatelé malwaru přejímají nástroje ze světa reklamních technologií a analytiky, aby svou infrastrukturu učinili odolnější. Podobná maskovací logika se objevila i v dalších nedávných kampaních, které ukrývají škodlivý obsah uvnitř legitimně vyhlížejících služeb, jako je technika msaRAT ransomwarové skupiny Chaos, která skrývá řídicí provoz uvnitř důvěryhodných procesů prohlížeče. Společným jmenovatelem je únik pomocí legitimity: útočníci se stále častěji skrývají na očích, místo aby spoléhali na zjevně podezřelou infrastrukturu.
Co to znamená pro vás
Pokud používáte Mac, praktické riziko je zde jednoduché: každý web, který po vás chce, abyste otevřeli Terminál a vložili do něj příkaz s cílem „opravit“ chybu, ověřit, že jste člověk, nebo vyřešit domnělý bezpečnostní problém, je třeba považovat za varovný signál. Legitimní aktualizace softwaru a postupy řešení problémů takto nefungují. Žádná skutečná oprava, aktualizace prohlížeče ani ověření CAPTCHA nevyžaduje ruční spouštění příkazů v shellu.
Protože se tato kampaň spoléhá na otisk prohlížeče, aby selektivně cílila na skutečné uživatele, standardní bezpečnostní skenery ji nemusí vždy včas odhalit, což zvyšuje důraz na obezřetnost uživatelů. Je to také připomínka toho, že sledování založené na otisku prohlížeče, jaké využívají inzerenti i útočníci, je pro běžnou relaci prohlížeče z velké části neviditelné, pokud aktivně nepoužíváte ochrany soukromí navržené tak, aby omezily, co vaše zařízení prozradí.
Praktické rady
- Nikdy nevkládejte příkaz do Terminálu ani do okna Spustit jen proto, že vám to nařídil web, bez ohledu na to, jak oficiálně stránka vypadá.
- Udržujte macOS a prohlížeč aktualizované a buďte skeptičtí vůči vyskakovacím oknům, která tvrdí, že jsou nutné urgentní opravy.
- Používejte nastavení prohlížeče nebo rozšíření, která omezují plochu pro otisk prohlížeče, jako je například omezení výčtu písem a přístupu k plátnu, kde je to možné.
- Pokud zkoumáte, jak šifrování a nástroje pro ochranu soukromí zapadají do širší obranné strategie, porozumění šifrování VPN je dobrým výchozím bodem, ale pamatujte, že ochrana proti otisku prohlížeče vyžaduje samostatná opatření na úrovni prohlížeče.
Tato kampaň ClickFix je užitečnou případovou studií toho, jak se útočníci přizpůsobují: nevymýšlejí nový malware, ale přejímají sledovací infrastrukturu moderního webu, aby staré triky učinili hůře odhalitelné. Zachování obezřetnosti vůči nevyžádaným pokynům „opravte si to sami“ zůstává tou nejjednodušší a nejúčinnější obranou.
