Μια νέα καμπάνια ClickFix δείχνει πώς μία ενέργεια αντιγραφής-επικόλλησης μπορεί να ανοίξει μια πόρτα σε μια συσκευή και το δίκτυο γύρω της. Σύμφωνα με αναφορά από το GBHackers, η καμπάνια χρησιμοποιεί ένα στοιχείο που ονομάζεται Lorem Ipsum Loader για να εγκαταστήσει ένα tunneling implant βασισμένο σε Python, δίνοντας στους επιτιθέμενους μια κρυφή διαδρομή προς τα θύματα. Αυτή η αλυσίδα tunneling implant της επίθεσης ClickFix είναι μια χρήσιμη υπενθύμιση ότι μερικές από τις πιο αποτελεσματικές επιθέσεις δεν εκμεταλλεύονται καθόλου ευπάθειες λογισμικού. Βασίζονται στο να πείσουν ένα άτομο να εκτελέσει το ίδιο το code.
Η πηγή της αναφοράς είναι σύντομη, οπότε αυτό το άρθρο περιορίζεται σε ό,τι έχει επιβεβαιωθεί: τη μέθοδο παράδοσης, τον loader και τον τύπο του implant που εμπλέκεται. Όπου δεν υπάρχουν λεπτομέρειες, το αναφέρουμε.
Πώς το ClickFix εξαπατά ανθρώπους να μολύνουν τους εαυτούς τους
Το ClickFix είναι μια τεχνική κοινωνικής μηχανικής. Αντί να παραδώσει malware μέσω μιας προφανούς λήψης, ο επιτιθέμενος δείχνει στο θύμα ένα μήνυμα που μοιάζει με συνήθη διόρθωση ενός προβλήματος. Ο χρήστης καλείται να αντιγράψει μια εντολή και να την επικολλήσει σε ένα παράθυρο συστήματος, όπως το παράθυρο διαλόγου Run των Windows ή ένα terminal. Επειδή ο χρήστης εκτελεί την ενέργεια, το βήμα μπορεί να παρακάμψει προστασίες που έχουν σχεδιαστεί για να εντοπίζουν ύποπτες λήψεις ή συνημμένα.
Η οπτική γωνία που κάνει αυτή την προσέγγιση αποτελεσματική είναι η απλότητά της. Δεν υπάρχει κάποιος περίεργος installer για να αμφισβητήσεις. Ένα άτομο απλώς ακολουθεί αυτό που φαίνεται να είναι μια οδηγία αντιμετώπισης προβλημάτων. Σε αυτή την καμπάνια, αυτή η επικολλημένη εντολή είναι αυτό που ξεκινά την αλυσίδα μόλυνσης που οδηγεί στον Lorem Ipsum Loader.
Τι κάνουν ο Lorem Ipsum Loader και το tunneling implant
Ένας loader είναι ένα μικρό πρόγραμμα του οποίου η κύρια δουλειά είναι να φέρει κάτι άλλο. Εδώ, ο Lorem Ipsum Loader εγκαθιστά ένα tunneling implant βασισμένο σε Python. Ένα implant είναι ένα κομμάτι λογισμικού που αφήνεται να εκτελείται σε μια παραβιασμένη μηχανή ώστε οι επιτιθέμενοι να διατηρούν πρόσβαση με την πάροδο του χρόνου.
Tunneling σημαίνει τη δημιουργία ενός καναλιού που μεταφέρει κίνηση μεταξύ της μολυσμένης συσκευής και ενός συστήματος που ελέγχει ο επιτιθέμενος. Σε πρακτικούς όρους, αυτό μπορεί να δώσει στον επιτιθέμενο μια κρυφή διαδρομή προς τη μηχανή του θύματος, και δυνητικά έναν τρόπο να φτάσει σε άλλους πόρους που μπορεί να δει η συσκευή. Η αναφορά περιγράφει το αποτέλεσμα ως κρυφή διαδρομή προς τα θύματα, που είναι ο βασικός κίνδυνος: η δραστηριότητα του επιτιθέμενου μπορεί να αναμειχθεί με τις κανονικές συνδέσεις της συσκευής.
Η πηγή δεν παρέχει περαιτέρω τεχνικές λεπτομέρειες, όπως τον αριθμό των θυμάτων, την υποδομή πίσω από την καμπάνια ή ποιος είναι υπεύθυνος, οπότε δεν θα κάνουμε εικασίες για αυτά τα σημεία.
Γιατί ένα tunneling implant έχει σημασία για την ιδιωτικότητά σας
Ένα tunneling implant είναι ανησυχητικό εξαιτίας του τι μπορεί να παρεμβάλει. Μια συσκευή σε οικιακό ή εταιρικό δίκτυο μπορεί να έχει πρόσβαση σε προσωπικά αρχεία, αποθηκευμένες συνεδρίες, εσωτερικά εργαλεία, κοινόχρηστους δίσκους και άλλες συνδεδεμένες συσκευές. Αν ένας επιτιθέμενος έχει ένα κρυφό κανάλι προς αυτή τη μηχανή, η συσκευή μπορεί να γίνει σκαλοπάτι και όχι απλώς ένα μεμονωμένο σημείο παραβίασης.
Γι' αυτό ένα λάθος αντιγραφής-επικόλλησης μπορεί να έχει επιπτώσεις πέρα από ένα laptop. Πρόσβαση αυτού του είδους μπορεί να υπονομεύσει την ιδιωτικότητα όλων όσων αγγίζει η συσκευή. Για εργαζόμενους, μπορεί επίσης να αυξήσει τον κίνδυνο για συστήματα εργοδότη προσβάσιμα από οικιακή ή απομακρυσμένη εγκατάσταση.
Αυτό είναι ένα παρόμοιο μοτίβο με άλλες περιπτώσεις όπου συνηθισμένα web εργαλεία στρέφονται εναντίον των χρηστών. Για παράδειγμα, πρόσφατα καλύψαμε πώς κακόβουλες επεκτάσεις Chrome πιάστηκαν να κλέβουν δεδομένα κρυπτονομισμάτων, μια άλλη περίπτωση όπου κάτι που φαίνεται συνηθισμένο γίνεται ο τρόπος εισόδου.
Τι σημαίνει αυτό για εσάς
Το βασικό σημείο είναι ότι εσείς είστε ο στόχος του τεχνάσματος, όχι μόνο το λογισμικό σας. Ένας πλήρως ενημερωμένος υπολογιστής μπορεί ακόμα να παραβιαστεί αν πειστείτε να εκτελέσετε μια κακόβουλη εντολή. Οποιοσδήποτε χρησιμοποιεί υπολογιστή και συναντά ιστοσελίδες, αναδυόμενα παράθυρα ή ψεύτικα μηνύματα επαλήθευσης και σφάλματος μπορεί να εκτεθεί σε αυτού του είδους το δόλωμα.
Τα καλά νέα είναι ότι η άμυνα είναι απλή και υπό τον έλεγχό σας. Η επίθεση εξαρτάται από μία ενέργεια, και η άρνηση να την κάνετε σπάει την αλυσίδα.
Προειδοποιητικά σημάδια και πώς να προστατευτείτε
Προσέξτε για αυτά τα κόκκινα σημαιάκια:
- Μια ιστοσελίδα σας ζητά να αντιγράψετε κείμενο και να το επικολλήσετε στο παράθυρο διαλόγου Run, στο Terminal ή στο PowerShell για να «διορθώσετε» ένα πρόβλημα ή να «επαληθεύσετε» ότι είστε άνθρωπος.
- Οι οδηγίες σας λένε να πατήσετε συντομεύσεις πληκτρολογίου που ανοίγουν ένα παράθυρο εντολών συστήματος.
- Ένα μήνυμα δημιουργεί επείγουσα ανάγκη, ισχυριζόμενο ότι κάτι θα σπάσει ή θα αποκλειστεί αν δεν ενεργήσετε αμέσως.
- Βλέπετε ανεξήγητες διεργασίες Python ή άγνωστη δραστηριότητα στο παρασκήνιο αφού ακολουθήσετε οποιαδήποτε τέτοια οδηγία.
Αν νομίζετε ότι εκτελέσατε μια ύποπτη εντολή, αποσυνδέστε τη συσκευή από το δίκτυο, εκτελέστε μια πλήρη σάρωση με αξιόπιστη προστασία endpoint και αλλάξτε σημαντικούς κωδικούς πρόσβασης από μια διαφορετική, καθαρή συσκευή. Αν η μηχανή χρησιμοποιείται για εργασία, ενημερώστε αμέσως την ομάδα IT ή ασφαλείας σας.
Βασικά συμπεράσματα
Η καμπάνια tunneling implant της επίθεσης ClickFix είναι μια υπενθύμιση ότι μία μόνο επικόλληση μπορεί να ακυρώσει πολλές καλές συνήθειες ασφαλείας. Για να μειώσετε τον κίνδυνό σας:
- Μην επικολλάτε ποτέ εντολές από ένα web μήνυμα σε ένα terminal ή παράθυρο διαλόγου Run εκτός αν τις κατανοείτε πλήρως και εμπιστεύεστε την πηγή.
- Διατηρείτε το λειτουργικό σας σύστημα και το λογισμικό ενημερωμένα, και χρησιμοποιείτε προστασία endpoint που μπορεί να επισημάνει ύποπτη συμπεριφορά.
- Αντιμετωπίζετε τα επείγοντα μηνύματα «διόρθωσης» και «επαλήθευσης» με καχυποψία, και κλείστε τη σελίδα αντ' αυτού.
- Διατηρείτε την υγιεινή δικτύου στη σωστή προοπτική. Ένα VPN μπορεί να είναι ένα χρήσιμο επίπεδο για την προστασία της κίνησής σας, αλλά δεν σταματά malware που εκτελείτε στη δική σας συσκευή.
Για ένα άλλο παράδειγμα καθημερινών web εργαλείων που κακοποιούνται, διαβάστε την αναφορά μας για κακόβουλες επεκτάσεις browser που κλέβουν δεδομένα κρυπτονομισμάτων, και παραμείνετε δύσπιστοι απέναντι σε οποιοδήποτε μήνυμα σας ζητά να κάνετε τη δουλειά του επιτιθέμενου για αυτόν.
