Μια πρόσφατα τεκμηριωμένη εκστρατεία ClickFix έχει εξελιχθεί αθόρυβα σε ένα εκτεταμένο δίκτυο με πάνω από 250 τομείς, όλοι σχεδιασμένοι για να εξαπατούν χρήστες Mac ώστε να μολύνουν μόνοι τους τις συσκευές τους. Αυτό που κάνει αυτή την επιχείρηση αξιοσημείωτη δεν είναι μόνο η κλίμακά της. Είναι το γεγονός ότι οι επιτιθέμενοι χρησιμοποιούν δακτυλικό αποτύπωμα περιηγητή, την ίδια τεχνική παρακολούθησης που βασίζονται διαφημιστές και μεσίτες δεδομένων, για να αποφασίσουν σε ποιον θα εμφανιστεί ένα κακόβουλο δέλεαρ και σε ποιον μια αθώα σελίδα αντ' αυτού.
Πώς η Εκστρατεία ClickFix Κρύβει τα Ίχνη της
Οι επιθέσεις ClickFix ακολουθούν ένα γνώριμο μοτίβο: ένας ψεύτικος ιστότοπος λέει στους επισκέπτες ότι ο περιηγητής ή το σύστημά τους έχει κάποιο σφάλμα και στη συνέχεια τους καθοδηγεί να αντιγράψουν και να επικολλήσουν μια εντολή στο Terminal για να το "διορθώσουν". Αυτή η εντολή στην πραγματικότητα εγκαθιστά κακόβουλο λογισμικό, σε αυτή την περίπτωση μια παραλλαγή που σχετίζεται με το AMOS, έναν γνωστό infostealer για macOS σχεδιασμένο να συλλέγει αποθηκευμένους κωδικούς πρόσβασης, δεδομένα περιηγητή και πληροφορίες πορτοφολιών κρυπτονομισμάτων.
Αυτό που ξεχωρίζει αυτή την εκστρατεία είναι το δακτυλικό αποτύπωμα από την πλευρά του διακομιστή. Αντί να σερβίρει το κακόβουλο δέλεαρ σε κάθε επισκέπτη, η υποδομή των επιτιθέμενων εξετάζει λεπτομέρειες για τον εισερχόμενο περιηγητή, όπως ανάλυση οθόνης, εγκατεστημένες γραμματοσειρές, συμβολοσειρές user-agent και άλλα λεπτά σήματα διαμόρφωσης, προτού αποφασίσει τι θα εμφανίσει. Οι σαρωτές ασφαλείας, οι αυτοματοποιημένοι ανιχνευτές και οι ερευνητές που διερευνούν τους τομείς τείνουν να βλέπουν μια καθαρή, αδιάφορη σελίδα. Οι πραγματικοί χρήστες Mac που περιηγούνται κανονικά είναι εκείνοι που διοχετεύονται στο δέλεαρ ClickFix.
Πρόκειται για μια ουσιαστική εξέλιξη στον τρόπο με τον οποίο οι εκστρατείες κακόβουλου λογισμικού αποφεύγουν τον εντοπισμό. Αντί να βασίζονται αποκλειστικά σε συσκοτισμένο κώδικα ή βραχύβιους τομείς, οι χειριστές χρησιμοποιούν παθητικές τεχνικές αναγνώρισης για να φιλτράρουν το κοινό τους πριν καν ξεκινήσει μια επίθεση. Με πάνω από 250 τομείς που φέρεται να εμπλέκονται, η εκστρατεία έχει αρκετό πλεονασμό ώστε η κατάρριψη μεμονωμένων ιστοτόπων να κάνει ελάχιστα για να την επιβραδύνει συνολικά.
Δακτυλικό Αποτύπωμα: Ένα Εργαλείο τόσο για Διαφημιστές όσο και για Επιτιθέμενους
Το δακτυλικό αποτύπωμα περιηγητή δεν είναι κάτι καινούριο και δεν είναι εγγενώς κακόβουλο. Ιστότοποι και διαφημιστικά δίκτυα χρησιμοποιούν παρόμοιες τεχνικές εδώ και χρόνια για να παρακολουθούν χρήστες σε διαφορετικές συνεδρίες χωρίς να βασίζονται σε cookies. Αυτό που καταδεικνύει αυτή η εκστρατεία είναι το πώς οι ίδιες ακριβώς παθητικές μέθοδοι προφίλ που χρησιμοποιούνται για εμπορική παρακολούθηση μπορούν να επαναχρησιμοποιηθούν για την επιλεκτική διανομή κακόβουλου λογισμικού, αποφεύγοντας ταυτόχρονα τον εντοπισμό.
Αξίζει να σταθούμε σε αυτή την επικάλυψη. Κάθε φορά που ένας περιηγητής εκθέτει λεπτομερείς τεχνικές πληροφορίες σε έναν ιστότοπο, δημιουργεί μια ευκαιρία για να χρησιμοποιηθούν αυτά τα δεδομένα με τρόπους που ο επισκέπτης ποτέ δεν περίμενε, είτε από ένα διαφημιστικό δίκτυο που δημιουργεί ένα προφίλ είτε, σε αυτή την περίπτωση, από έναν χειριστή κακόβουλου λογισμικού που αποφασίζει ποιον αξίζει να επιτεθεί. Οι αναγνώστες που θέλουν μια βαθύτερη ματιά στο πώς λειτουργούν το δακτυλικό αποτύπωμα και άλλοι μηχανισμοί παρακολούθησης, και τι μπορούν και τι δεν μπορούν να σταματήσουν τα τυπικά εργαλεία απορρήτου, μπορεί να βρουν χρήσιμο να επανεξετάσουν τι είναι ένα VPN και πώς λειτουργεί, καθώς το δακτυλικό αποτύπωμα είναι μία από τις μεθόδους παρακολούθησης που ένα VPN από μόνο του δεν εξουδετερώνει πλήρως.
Γιατί Έχει Σημασία Πέρα από το macOS
Ενώ η συγκεκριμένη εκστρατεία στοχεύει χρήστες Mac με infostealers τύπου AMOS, η υποκείμενη τεχνική — η χρήση δακτυλικού αποτυπώματος για την επιλεκτική απόκρυψη κακόβουλου περιεχομένου από αυτοματοποιημένες άμυνες — δεν είναι συγκεκριμένη για μια πλατφόρμα. Αντικατοπτρίζει μια ευρύτερη τάση των χειριστών κακόβουλου λογισμικού να δανείζονται εργαλεία από τον κόσμο της διαφημιστικής τεχνολογίας και των analytics για να κάνουν την υποδομή τους πιο ανθεκτική. Παρόμοια λογική απόκρυψης έχει εμφανιστεί σε άλλες πρόσφατες εκστρατείες που κρύβουν κακόβουλα φορτία μέσα σε υπηρεσίες που φαίνονται νόμιμες, όπως η τεχνική msaRAT της ομάδας ransomware Chaos, η οποία συγκαλύπτει την κυκλοφορία εντολών και ελέγχου μέσα σε αξιόπιστες διεργασίες περιηγητή. Το κοινό νήμα είναι η αποφυγή μέσω νομιμότητας: οι επιτιθέμενοι κρύβονται όλο και περισσότερο σε κοινή θέα αντί να βασίζονται σε προφανώς ύποπτη υποδομή.
Τι Σημαίνει Αυτό για Εσάς
Εάν χρησιμοποιείτε Mac, ο πρακτικός κίνδυνος εδώ είναι ξεκάθαρος: οποιοσδήποτε ιστότοπος σας ζητά να ανοίξετε το Terminal και να επικολλήσετε μια εντολή για να "διορθώσετε" ένα σφάλμα, να επαληθεύσετε ότι είστε άνθρωπος ή να επιλύσετε ένα υποτιθέμενο ζήτημα ασφαλείας θα πρέπει να αντιμετωπίζεται ως κόκκινο σημάδι. Οι νόμιμες ενημερώσεις λογισμικού και τα βήματα αντιμετώπισης προβλημάτων δεν λειτουργούν με αυτόν τον τρόπο. Καμία πραγματική επιδιόρθωση, ενημέρωση περιηγητή ή επαλήθευση CAPTCHA δεν απαιτεί να εκτελέσετε χειροκίνητα εντολές κελύφους.
Επειδή αυτή η εκστρατεία βασίζεται στο δακτυλικό αποτύπωμα για να στοχεύσει επιλεκτικά πραγματικούς χρήστες, τα τυπικά εργαλεία σάρωσης ασφαλείας ενδέχεται να μην την εντοπίζουν πάντα έγκαιρα, γεγονός που δίνει μεγαλύτερη βαρύτητα στην επίγνωση του χρήστη. Είναι επίσης μια υπενθύμιση ότι η παρακολούθηση που βασίζεται στο δακτυλικό αποτύπωμα, του είδους που χρησιμοποιούν τόσο οι διαφημιστές όσο και οι επιτιθέμενοι, είναι σε μεγάλο βαθμό αόρατη στη μέση συνεδρία περιήγησης, εκτός εάν χρησιμοποιείτε ενεργά προστασίες απορρήτου σχεδιασμένες να περιορίζουν τι αποκαλύπτει η συσκευή σας.
Πρακτικά Συμπεράσματα
- Ποτέ μην επικολλάτε μια εντολή στο Terminal ή στην Εκτέλεση επειδή σας το είπε ένας ιστότοπος, ανεξάρτητα από το πόσο επίσημη φαίνεται η σελίδα.
- Διατηρείτε το macOS και τον περιηγητή σας ενημερωμένα και να είστε δύσπιστοι απέναντι σε αναδυόμενα παράθυρα που ισχυρίζονται ότι απαιτούνται επείγουσες επιδιορθώσεις.
- Χρησιμοποιήστε ρυθμίσεις περιηγητή ή επεκτάσεις που περιορίζουν την επιφάνεια δακτυλικού αποτυπώματος, όπως ο περιορισμός της απαρίθμησης γραμματοσειρών και της πρόσβασης σε καμβά όπου είναι δυνατόν.
- Εάν ερευνάτε πώς η κρυπτογράφηση και τα εργαλεία απορρήτου εντάσσονται σε μια ευρύτερη στρατηγική άμυνας, η κατανόηση της κρυπτογράφησης VPN είναι ένα καλό σημείο εκκίνησης, αν και να θυμάστε ότι οι άμυνες κατά του δακτυλικού αποτυπώματος απαιτούν ξεχωριστές προστασίες σε επίπεδο περιηγητή.
Αυτή η εκστρατεία ClickFix είναι μια χρήσιμη μελέτη περίπτωσης για το πώς προσαρμόζονται οι επιτιθέμενοι: όχι επινοώντας νέο κακόβουλο λογισμικό, αλλά δανειζόμενοι την υποδομή παρακολούθησης του σύγχρονου ιστού για να κάνουν τα παλιά κόλπα δυσκολότερα να πιαστούν. Το να παραμένετε επιφυλακτικοί απέναντι σε ανεπιθύμητες οδηγίες "φτιάξ' το μόνος σου" παραμένει η απλούστερη και πιο αποτελεσματική άμυνα.
