En ny ClickFix-kampagne viser, hvordan én copy-paste-handling kan åbne en dør ind til en enhed og netværket omkring den. Ifølge rapportering fra GBHackers bruger kampagnen en komponent kaldet Lorem Ipsum Loader til at installere et Python-baseret tunneling-implantat, hvilket giver angribere en hemmelig rute ind til ofrene. Denne ClickFix-angrebskæde med tunneling-implantat er en nyttig påmindelse om, at nogle af de mest effektive angreb slet ikke udnytter softwaresårbarheder. De er afhængige af at overtale en person til selv at køre koden.
Kilderapporten er kort, så denne artikel holder sig til det, der er bekræftet: leveringsmetoden, loaderen og typen af implantat. Hvor detaljer ikke er tilgængelige, siger vi det.
Hvordan ClickFix narrer folk til at inficere sig selv
ClickFix er en social engineering-teknik. I stedet for at levere malware gennem en oplagt download viser angriberen offeret en prompt, der ligner en rutinemæssig løsning på et problem. Brugeren får besked om at kopiere en kommando og indsætte den i et systemvindue, såsom Windows Run-dialogen eller en terminal. Fordi brugeren selv udfører handlingen, kan trinnet omgå beskyttelser, der er designet til at fange mistænkelige downloads eller vedhæftede filer.
Den vinkel, der gør denne tilgang effektiv, er enkelhed. Der er ingen mærkelig installationsprogram, man skal sætte spørgsmålstegn ved. En person følger blot det, der ligner en fejlfindingsinstruktion. I denne kampagne er det den indsatte kommando, der starter infektionskæden, som fører til Lorem Ipsum Loader.
Hvad Lorem Ipsum Loader og tunneling-implantatet gør
En loader er et lille program, hvis hovedopgave er at hente noget andet ind. Her installerer Lorem Ipsum Loader et Python-baseret tunneling-implantat. Et implantat er et stykke software, der efterlades kørende på en kompromitteret maskine, så angribere kan bevare adgang over tid.
Tunneling betyder at skabe en kanal, der transporterer trafik mellem den inficerede enhed og et system, som angriberen kontrollerer. I praksis kan dette give en angriber en hemmelig vej ind i offerets maskine og potentielt en måde at nå andre ressourcer, som enheden kan se. Rapporten beskriver resultatet som en hemmelig rute ind til ofrene, hvilket er kererisikoen: angriberens aktivitet kan smelte sammen med enhedens normale forbindelser.
Kilden giver ikke yderligere tekniske detaljer, såsom antallet af ofre, infrastrukturen bag kampagnen eller hvem der er ansvarlig, så vi vil ikke spekulere i disse punkter.
Hvorfor et tunneling-implantat er vigtigt for dit privatliv
Et tunneling-implantat er bekymrende på grund af det, det kan sidde imellem. En enhed på et hjemme- eller kontornetværk kan have adgang til personlige filer, gemte sessioner, interne værktøjer, delte drev og andre tilsluttede enheder. Hvis en angriber har en skjult kanal ind til den maskine, kan enheden blive et springbræt i stedet for blot et enkelt kompromitteringspunkt.
Det er derfor, en copy-paste-fejl kan have effekter ud over én laptop. Adgang af denne type kan underminere privatlivets fred for alt, hvad enheden rører ved. For arbejdstagere kan det også øge risikoen for arbejdsgiverens systemer, der kan nås fra en hjemme- eller fjernopsætning.
Dette er et lignende mønster som i andre tilfælde, hvor almindelige webværktøjer bliver vendt mod brugere. For eksempel dækkede vi for nylig, hvordan ondsindede Chrome-udvidelser blev fanget i at stjæle kryptodata, endnu et tilfælde hvor noget, der ser rutinemæssigt ud, bliver vejen ind.
Hvad dette betyder for dig
Det centrale punkt er, at du er målet for narrespillet, ikke bare din software. En fuldt opdateret computer kan stadig blive kompromitteret, hvis du bliver overtalt til at køre en ondsindet kommando. Alle, der bruger en computer og støder på websider, pop-ups eller falske verifikations- og fejlprompter, kan blive udsat for denne type lokkemad.
Den gode nyhed er, at forsvaret er enkelt og inden for din kontrol. Angrebet afhænger af én handling, og ved at afstå fra at udføre den bryder du kæden.
Advarselstegn og hvordan du beskytter dig selv
Vær opmærksom på disse røde flag:
- En webside beder dig kopiere tekst og indsætte den i Run-dialogen, Terminal eller PowerShell for at "løse" et problem eller "bekræfte", at du er et menneske.
- Instruktioner fortæller dig at trykke på tastaturgenveje, der åbner et systemkommandovindue.
- En prompt skaber hastværk og hævder, at noget vil gå i stykker eller blive blokeret, medmindre du handler med det samme.
- Du ser uforklarlige Python-processer eller ukendt baggrundsaktivitet efter at have fulgt en sådan instruktion.
Hvis du tror, du har kørt en mistænkelig kommando, skal du afbryde enheden fra netværket, køre en fuld scanning med velrenommeret endpoint-beskyttelse og ændre vigtige adgangskoder fra en anden, ren enhed. Hvis maskinen bruges til arbejde, skal du straks informere dit IT- eller sikkerhedsteam.
Vigtige pointer
ClickFix-angrebskampagnen med tunneling-implantat er en påmindelse om, at en enkelt indsættelse kan underminere mange gode sikkerhedsvaner. For at reducere din risiko:
- Indsæt aldrig kommandoer fra en webprompt i en terminal eller Run-dialog, medmindre du fuldt ud forstår dem og stoler på kilden.
- Hold dit operativsystem og din software opdateret, og brug endpoint-beskyttelse, der kan flagge mistænkelig adfærd.
- Behandl hastende "fix"- og "verify"-prompter med mistanke, og luk siden i stedet.
- Hold netværkshygiejne i perspektiv. En VPN kan være et nyttigt lag til at beskytte din trafik, men det stopper ikke malware, som du selv kører på din egen enhed.
For et andet eksempel på misbrug af hverdagens webværktøjer, læs vores rapport om ondsindede browserudvidelser, der stjæler kryptodata, og vær skeptisk over for enhver prompt, der beder dig om at udføre angriberens arbejde for dem.
