Uusi ClickFix-kampanja osoittaa, miten yksi kopioi ja liitä -toiminto voi avata oven laitteeseen ja sen ympärillä olevaan verkkoon. GBHackersin raportin mukaan kampanja käyttää Lorem Ipsum -lataajaksi kutsuttua komponenttia asentaakseen Python-pohjaisen tunnelointi-implantin, mikä antaa hyökkääjille salaisen reitin uhrien järjestelmiin. Tämä ClickFix-hyökkäyksen tunnelointi-implanttiketju on hyödyllinen muistutus siitä, että jotkin tehokkaimmista hyökkäyksistä eivät hyödynnä lainkaan ohjelmistovirheitä. Ne luottavat siihen, että ihminen saadaan suostuteltua suorittamaan koodi itse.
Lähderaportti on lyhyt, joten tämä artikkeli pitäytyy siinä, mikä on vahvistettu: toimitusmenetelmässä, lataajassa ja implantin tyypissä. Jos tietoja ei ole saatavilla, sanomme sen.
Miten ClickFix huijaa ihmiset infektoimaan itsensä
ClickFix on sosiaalisen manipuloinnin tekniikka. Sen sijaan, että haittaohjelma toimitettaisiin ilmeisen latauksen kautta, hyökkääjä näyttää uhrille kehotteen, joka näyttää rutiininomaiselta korjaukselta ongelmaan. Käyttäjää kehotetaan kopioimaan komento ja liittämään se järjestelmäikkunaan, kuten Windowsin Suorita-valintaikkunaan tai terminaaliin. Koska käyttäjä suorittaa toiminnon itse, vaihe voi ohittaa suojaukset, jotka on suunniteltu havaitsemaan epäilyttäviä latauksia tai liitteitä.
Tämän lähestymistavan tehokkaaksi tekevä näkökulma on yksinkertaisuus. Ei ole outoa asennusohjelmaa, jota kyseenalaistaa. Henkilö vain seuraa sitä, mikä näyttää vianmääritysohjeelta. Tässä kampanjassa liitetty komento käynnistää infektio ketjun, joka johtaa Lorem Ipsum -lataajaan.
Mitä Lorem Ipsum -lataaja ja tunnelointi-implantti tekevät
Lataaja on pieni ohjelma, jonka päätehtävä on tuoda jotain muuta. Tässä Lorem Ipsum -lataaja asentaa Python-pohjaisen tunnelointi-implantin. Implantti on ohjelmisto, joka jätetään käyntiin murretulle koneelle, jotta hyökkääjät voivat säilyttää pääsyn ajan myötä.
Tunnelointi tarkoittaa kanavan luomista, joka kuljettaa liikennettä infektoidun laitteen ja hyökkääjän hallitseman järjestelmän välillä. Käytännössä tämä voi antaa hyökkääjälle salaisen reitin uhrin koneeseen ja mahdollisesti tien muihin resursseihin, jotka laite näkee. Raportti kuvaa tulosta salaisena reittinä uhrien järjestelmiin, mikä on ydinriski: hyökkääjän toiminta voi sulautua laitteen normaaleihin yhteyksiin.
Lähde ei tarjoa tarkempia teknisiä yksityiskohtia, kuten uhrien määrää, kampanjan taustalla olevaa infrastruktuuria tai sitä, kuka on vastuussa, joten emme spekuloi näillä seikoilla.
Miksi tunnelointi-implantti on tärkeä yksityisyydellesi
Tunnelointi-implantti on huolestuttava sen vuoksi, minkä välissä se voi olla. Koti- tai toimistoverkossa olevalla laitteella voi olla pääsy henkilökohtaisiin tiedostoihin, tallennettuihin istuntoihin, sisäisiin työkaluihin, jaettuihin asemiin ja muihin liitettyihin laitteisiin. Jos hyökkääjällä on piilotettu kanava kyseiseen koneeseen, laitteesta voi tulla astinlauta pelkän yksittäisen murron kohteen sijaan.
Siksi kopioi ja liitä -virheellä voi olla vaikutuksia yhtä kannettavaa tietokonetta laajemmalle. Tällainen pääsy voi heikentää kaiken sen yksityisyyttä, mihin laite koskettaa. Työntekijöille se voi myös lisätä riskiä työnantajan järjestelmille, jotka ovat saavutettavissa koti- tai etäkäyttöympäristöstä.
Tämä on samankaltainen kaava kuin muissa tapauksissa, joissa tavallisia verkkotyökaluja käännetään käyttäjiä vastaan. Esimerkiksi käsittelimme äskettäin, miten haitalliset Chrome-laajennukset jäivät kiinni kryptodatan varastamisesta, toinen tapaus, jossa rutiininomaiselta näyttävä asia muuttuu sisäänpääsytieksi.
Mitä tämä tarkoittaa sinulle
Keskeinen pointti on, että sinä olet tempun kohde, ei vain ohjelmistosi. Täysin päivitetty tietokone voidaan silti murtaa, jos sinut saadaan suostuteltua suorittamaan haitallinen komento. Kuka tahansa tietokonetta käyttävä, joka kohtaa verkkosivuja, ponnahdusikkunoita tai väärennettyjä vahvistus- ja virhekehotuksia, voi altistua tällaiselle houkuttimelle.
Hyvä uutinen on, että puolustus on yksinkertainen ja sinun hallinnassasi. Hyökkäys riippuu yhdestä toiminnosta, ja kieltäytyminen sen tekemisestä katkaisee ketjun.
Varoitusmerkit ja miten suojautua
Varo näitä punaisia lippuja:
- Verkkosivu pyytää sinua kopioimaan tekstiä ja liittämään sen Suorita-valintaikkunaan, terminaaliin tai PowerShelliin "korjataksesi" ongelman tai "vahvistaaksesi", että olet ihminen.
- Ohjeet kehottavat painamaan pikanäppäimiä, jotka avaavat järjestelmän komentoikkunan.
- Kehote luo kiireellisyyden tunnetta väittäen, että jotain menee rikki tai estetään, ellet toimi heti.
- Näet selittämättömiä Python-prosesseja tai tuntematonta taustatoimintaa minkä tahansa tällaisen ohjeen noudattamisen jälkeen.
Jos luulet suorittaneesi epäilyttävän komennon, irrota laite verkosta, suorita täysi skannaus luotettavalla päätelaitesuojauksella ja vaihda tärkeät salasanat toiselta puhtaalta laitteelta. Jos konetta käytetään työhön, ilmoita IT- tai tietoturvatiimillesi viipymättä.
Keskeiset huomiot
ClickFix-hyökkäyksen tunnelointi-implanttikampanja on muistutus siitä, että yksi liittäminen voi mitätöidä paljon hyviä tietoturvatottumuksia. Riskin vähentämiseksi:
- Älä koskaan liitä komentoja verkkokehotteesta terminaaliin tai Suorita-valintaikkunaan, ellet täysin ymmärrä niitä ja luota lähteeseen.
- Pidä käyttöjärjestelmäsi ja ohjelmistosi päivitettyinä ja käytä päätelaitesuojausta, joka voi merkitä epäilyttävän toiminnan.
- Suhtaudu epäluuloisesti kiireellisiin "korjaus"- ja "vahvistus"-kehotuksiin ja sulje sivu sen sijaan.
- Pidä verkkohygienia asiayhteydessä. VPN voi olla yksi hyödyllinen kerros liikenteesi suojaamiseen, mutta se ei pysäytä haittaohjelmaa, jonka suoritat omalla laitteellasi.
Toisena esimerkkinä jokapäiväisten verkkotyökalujen väärinkäytöstä, lue raporttimme haitallisista selainlaajennuksista, jotka varastavat kryptodataa, ja pysy skeptisenä minkä tahansa kehotteen suhteen, joka pyytää sinua tekemään hyökkääjän työn puolestaan.
