En nylig dokumentert ClickFix-kampanje har i stillhet vokst til et vidtrekkende nettverk av over 250 domener, alle laget for å lure Mac-brukere til å infisere sine egne maskiner. Det som gjør denne operasjonen bemerkelsesverdig, er ikke bare omfanget. Det er at angriperne bruker nettleser-fingeravtrykk, den samme sporingsteknikken som annonsører og datameglere støtter seg på, for å avgjøre hvem som får se et ondsinnet lokkemiddel og hvem som får en ufarlig side i stedet.

Hvordan ClickFix-kampanjen skjuler sporene sine

ClickFix-angrep følger et kjent mønster: Et falskt nettsted forteller besøkende at nettleseren eller systemet deres har en feil, og instruerer dem deretter om å kopiere og lime inn en kommando i Terminal for å «fikse» det. Den kommandoen installerer i virkeligheten skadevare, i dette tilfellet en variant knyttet til AMOS, en kjent infostealer for macOS som er utformet for å høste lagrede passord, nettleserdata og informasjon om kryptovaluta-lommebøker.

Det som skiller denne kampanjen, er fingeravtrykk på serversiden. I stedet for å vise det ondsinnede lokkemiddelet til alle besøkende, undersøker angripernes infrastruktur detaljer om den innkommende nettleseren – ting som skjermoppløsning, installerte skrifttyper, brukeragentstrenger og andre subtile konfigurasjonssignaler – før den bestemmer hva som skal vises. Sikkerhetsskannere, automatiserte gjennomsøkere og forskere som undersøker domenene, får som regel en ren, uanselig side. Ekte Mac-brukere som surfer normalt, er de som ledes inn i ClickFix-lokkemidlet.

Dette er en betydelig utvikling i hvordan skadevarekampanjer unngår oppdagelse. I stedet for å stole utelukkende på obfuskert kode eller kortvarige domener, bruker operatørene passive identifikasjonsteknikker for å filtrere publikummet før et angrep i det hele tatt begynner. Med over 250 domener angivelig involvert, har kampanjen nok redundans til at det å ta ned enkeltsider gjør lite for å stoppe den samlet sett.

Fingeravtrykk: Et verktøy for både annonsører og angripere

Nettleser-fingeravtrykk er ikke nytt, og det er ikke ondsinnet i seg selv. Nettsteder og annonsenettverk har brukt lignende teknikker i årevis for å spore brukere på tvers av økter uten å basere seg på informasjonskapsler. Det denne kampanjen demonstrerer, er hvordan nøyaktig de samme passive profileringsmetodene som brukes til kommersiell sporing, kan gjenbrukes til selektivt å levere skadevare samtidig som man unngår oppdagelse.

Det er verdt å dvele ved denne overlappingen. Hver gang en nettleser avslører detaljerte tekniske detaljer til et nettsted, skaper det en mulighet for at disse dataene brukes på måter den besøkende aldri forutså, enten det er av en annonsebørs som bygger en profil, eller, i dette tilfellet, en skadevareoperatør som avgjør hvem det er verdt å angripe. Lesere som ønsker et dypere innblikk i hvordan fingeravtrykk og andre sporingsmekanismer fungerer, og hva standard personvernverktøy kan og ikke kan stoppe, kan ha nytte av å se nærmere på hva en VPN er og hvordan det fungerer, siden fingeravtrykk er en av sporingsmetodene som en VPN alene ikke fullstendig nøytraliserer.

Hvorfor dette betyr noe utover macOS

Selv om denne spesifikke kampanjen retter seg mot Mac-brukere med infostealere av AMOS-typen, er den underliggende teknikken – å bruke fingeravtrykk for selektivt å skjule ondsinnet innhold for automatiserte forsvar – ikke plattformspesifikk. Den gjenspeiler en bredere trend der skadevareoperatører låner verktøy fra ad-tech- og analyseverdenen for å gjøre infrastrukturen sin mer robust. Lignende skjulingslogikk har dukket opp i andre nylige kampanjer som gjemmer ondsinnede nyttelaster inne i tjenester som fremstår som legitime, slik som Chaos ransomware-gruppens msaRAT-teknikk, som skjuler kommando-og-kontroll-trafikk i pålitelige nettleserprosesser. Den felles røde tråden er unndragelse gjennom legitimitet: Angripere skjuler seg stadig oftere i åpenbart syn i stedet for å basere seg på åpenbart mistenkelig infrastruktur.

Hva dette betyr for deg

Hvis du bruker en Mac, er den praktiske risikoen her grei: ethvert nettsted som ber deg om å åpne Terminal og lime inn en kommando for å «fikse» en feil, bekrefte at du er et menneske eller løse et påstått sikkerhetsproblem, bør behandles som et faresignal. Ekte programvareoppdateringer og feilsøkingstrinn fungerer ikke på denne måten. Ingen reell løsning, nettleseroppdatering eller CAPTCHA-bekreftelse krever at du kjører skallkommandoer manuelt.

Fordi denne kampanjen baserer seg på fingeravtrykk for selektivt å målrette ekte brukere, vil standard sikkerhetsskanningsverktøy kanskje ikke alltid fange den opp tidlig, noe som legger større vekt på brukerens bevissthet. Det er også en påminnelse om at fingeravtrykksbasert sporing, av den typen både annonsører og angripere bruker, i stor grad er usynlig for den gjennomsnittlige nettleserøkten med mindre du aktivt bruker personvernbeskyttelse som er utformet for å begrense hva enheten din avslører.

Konkrete råd

  • Lim aldri inn en kommando i Terminal eller Kjør fordi et nettsted ba deg om det, uansett hvor offisiell siden ser ut.
  • Hold macOS og nettleseren oppdatert, og vær skeptisk til popup-vinduer som hevder at det trengs hastetiltak.
  • Bruk nettleserinnstillinger eller utvidelser som begrenser fingeravtrykkets angrepsflate, for eksempel ved å begrense skrifttypeopptelling og tilgang til canvas der det er mulig.
  • Hvis du undersøker hvordan kryptering og personvernverktøy passer inn i en bredere forsvarsstrategi, er forstå VPN-kryptering et godt utgangspunkt, men husk at forsvar mot fingeravtrykk krever separate beskyttelsestiltak på nettlesernivå.

Denne ClickFix-kampanjen er et nyttig case-studie i hvordan angripere tilpasser seg: ikke ved å oppfinne ny skadevare, men ved å låne den moderne webens sporingsinfrastruktur for å gjøre gamle triks vanskeligere å oppdage. Å være forsiktig med uønskede «fikse det selv»-instruksjoner forblir det enkleste og mest effektive forsvaret.