Egy új ClickFix kampány megmutatja, hogyan nyithat ajtót egyetlen másolás-beillesztés művelet a készülékbe és a körülötte lévő hálózatba. A GBHackers beszámolója szerint a kampány egy Lorem Ipsum Loader nevű komponenst használ egy Python-alapú tunnelling implantátum telepítéséhez, ami rejtett bejáratot biztosít a támadóknak az áldozatokhoz. Ez a ClickFix támadás tunnelling implantátum lánc hasznos emlékeztető arra, hogy a leghatékonyabb támadások közül néhány egyáltalán nem használ ki szoftverhibákat. Arra támaszkodnak, hogy rávegyék az embert, hogy saját maga futtassa a kódot.
A forrásjelentés rövid, ezért ez a cikk ahhoz tartja magát, ami megerősítést nyert: a kézbesítési módszerhez, a loaderhez és az érintett implantátum típusához. Ahol a részletek nem elérhetők, ott ezt jelezzük.
Hogyan csalja rá a ClickFix az embereket, hogy megfertőzzék magukat
A ClickFix egy social engineering technika. Ahelyett, hogy nyilvánvaló letöltésen keresztül kézbesítené a kártevőt, a támadó egy olyan üzenetet mutat az áldozatnak, amely egy probléma rutinszerű javításának tűnik. A felhasználónak azt mondják, hogy másoljon le egy parancsot, és illessze be egy rendszerablakba, például a Windows Futtatás párbeszédpaneljébe vagy egy terminálba. Mivel a felhasználó hajtja végre a műveletet, ez a lépés megkerülheti azokat a védelmi intézkedéseket, amelyeket a gyanús letöltések vagy mellékletek elfogására terveztek.
A megközelítést hatékonnyá tevő szempont az egyszerűség. Nincs furcsa telepítő, amit meg lehetne kérdőjelezni. Az ember csak követi azt, ami hibaelhárítási utasításnak tűnik. Ebben a kampányban ez a beillesztett parancs indítja el azt a fertőzési láncot, amely a Lorem Ipsum Loaderhez vezet.
Mit tesz a Lorem Ipsum Loader és a tunnelling implantátum
A loader egy kis program, amelynek fő feladata, hogy valami mást behozzon. Itt a Lorem Ipsum Loader egy Python-alapú tunnelling implantátumot telepít. Az implantátum egy olyan szoftver, amelyet egy kompromittált gépen hagynak futni, hogy a támadók hosszú távon fenntartsák a hozzáférést.
A tunnelling olyan csatorna létrehozását jelenti, amely forgalmat szállít a fertőzött eszköz és a támadó által irányított rendszer között. Gyakorlati értelemben ez rejtett útvonalat biztosíthat a támadónak az áldozat gépébe, és potenciálisan módot arra, hogy elérje az eszköz által látható egyéb erőforrásokat is. A jelentés az eredményt rejtett útvonalként írja le az áldozatokhoz, ami a fő kockázat: a támadó tevékenysége beleolvadhat az eszköz normál kapcsolataiba.
A forrás nem nyújt további technikai részleteket, például az áldozatok számát, a kampány mögötti infrastruktúrát vagy azt, hogy ki a felelős, ezért ezekről nem találgatunk.
Miért számít a tunnelling implantátum az adatvédelem szempontjából
A tunnelling implantátum azért aggasztó, mert aközött ülhet, ami között. Egy otthoni vagy irodai hálózaton lévő eszköz hozzáférhet személyes fájlokhoz, mentett munkamenetekhez, belső eszközökhöz, megosztott meghajtókhoz és más csatlakoztatott eszközökhoz. Ha a támadónak rejtett csatornája van abba a gépbe, az eszköz ugródeszkává válhat, nem csupán egyetlen kompromittálási ponttá.
Ezért lehet egy másolás-beillesztési hiba hatással egyetlen laptopon túl is. Az ilyen típusú hozzáférés alááshatja mindannak az adatvédelemét, amihez az eszköz hozzáfér. A munkavállalók esetében ez növelheti a kockázatot az otthoni vagy távoli beállításból elérhető munkáltatói rendszerekre is.
Ez hasonló minta más esetekhez, ahol hétköznapi webes eszközöket fordítanak a felhasználók ellen. Nemrég például arról számoltunk be, hogy rosszindulatú Chrome-bővítményeket kaptak el kriptoadatok lopásán, egy másik eset, ahol valami rutinszerűnek tűnő dolog válik a bejutás útjává.
Mit jelent ez Önnek
A lényeg az, hogy Ön a trükk célpontja, nem csupán a szoftvere. Egy teljesen frissített számítógép is kompromittálódhat, ha ráveszik egy rosszindulatú parancs futtatására. Bárki, aki számítógépet használ, és weboldalakkal, felugró ablakokkal vagy hamis ellenőrzési és hibaüzenetekkel találkozik, ki lehet téve az ilyen típusú csalinak.
A jó hír az, hogy a védekezés egyszerű és az Ön irányítása alatt áll. A támadás egyetlen művelettől függ, és annak megtagadása megszakítja a láncot.
Figyelmeztető jelek és hogyan védje meg magát
Figyeljen ezekre a vörös zászlókra:
- Egy weboldal arra kéri, hogy másoljon szöveget, és illessze be a Futtatás párbeszédpanelbe, a Terminálba vagy a PowerShellbe egy probléma „javításához" vagy annak „ellenőrzéséhez", hogy ember-e.
- Az utasítások olyan billentyűparancsok megnyomására szólnak, amelyek rendszerparancs-ablakot nyitnak.
- Egy üzenet sürgetést kelt, azt állítva, hogy valami elromlik vagy blokkolva lesz, ha nem cselekszik azonnal.
- Megmagyarázhatatlan Python-folyamatokat vagy ismeretlen háttértevékenységet lát, miután követett egy ilyen utasítást.
Ha úgy gondolja, hogy gyanús parancsot futtatott, válassza le az eszközt a hálózatról, futtasson teljes vizsgálatot megbízható végpontvédelmi szoftverrel, és változtassa meg a fontos jelszavakat egy másik, tiszta eszközről. Ha a gépet munkára használja, haladéktalanul értesítse az IT- vagy biztonsági csapatát.
Kulcsfontosságú tanulságok
A ClickFix támadás tunnelling implantátum kampány emlékeztető arra, hogy egyetlen beillesztés sok jó biztonsági szokást semmissé tehet. A kockázat csökkentéséhez:
- Soha ne illesszen be parancsokat webes üzenetből egy terminálba vagy a Futtatás párbeszédpanelbe, hacsak nem érti teljesen őket, és nem bízik a forrásban.
- Tartsa naprakészen az operációs rendszerét és szoftvereit, és használjon olyan végpontvédelmet, amely képes jelezni a gyanús viselkedést.
- Kezelje gyanakvással a sürgető „javítás" és „ellenőrzés" üzeneteket, és inkább zárja be az oldalt.
- Tartsa szem előtt a hálózati higiéniát. A VPN hasznos réteg lehet a forgalom védelmében, de nem állítja meg a saját eszközén futtatott kártevőt.
A hétköznapi webes eszközök visszaélésének egy másik példájáért olvassa el jelentésünket a kriptoadatokat lopó rosszindulatú böngészőbővítményekről, és maradjon szkeptikus minden olyan üzenettel szemben, amely arra kéri, hogy végezze el helyettük a támadó munkáját.
