En ny ClickFix-kampanje viser hvordan én kopier-og-lim-handling kan åpne en dør inn til en enhet og nettverket rundt den. Ifølge rapportering fra GBHackers bruker kampanjen en komponent kalt Lorem Ipsum Loader for å installere et Python-basert tunnelimplantat, noe som gir angripere en skjult rute inn til ofrene. Denne ClickFix-angrepskjeden med tunnelimplantat er en nyttig påminnelse om at noen av de mest effektive angrepene ikke utnytter programvarefeil i det hele tatt. De er avhengige av å overtale en person til å kjøre koden selv.
Kilderapporten er kort, så denne artikkelen holder seg til det som er bekreftet: leveringsmetoden, lasteren og typen implantat som er involvert. Der detaljer ikke er tilgjengelige, sier vi det.
Hvordan ClickFix lurer folk til å infisere seg selv
ClickFix er en sosial manipuleringsteknikk. I stedet for å levere skadevare gjennom en åpenbar nedlasting, viser angriperen offeret en melding som ser ut som en rutinemessig løsning på et problem. Brukeren blir bedt om å kopiere en kommando og lime den inn i et systemvindu, for eksempel Windows Run-dialogen eller en terminal. Fordi brukeren utfører handlingen selv, kan trinnet omgå beskyttelser som er utformet for å fange opp mistenkelige nedlastinger eller vedlegg.
Vinkelen som gjør denne tilnærmingen effektiv, er enkelheten. Det er ingen merkelig installasjonsfil å stille spørsmål ved. En person følger bare det som ser ut som en feilsøkingsinstruksjon. I denne kampanjen er det den innlimte kommandoen som starter infeksjonskjeden som fører til Lorem Ipsum Loader.
Hva Lorem Ipsum Loader og tunnelimplantatet gjør
En laster er et lite program hvis hovedoppgave er å hente inn noe annet. Her installerer Lorem Ipsum Loader et Python-basert tunnelimplantat. Et implantat er en programvare som blir liggende og kjøre på en kompromittert maskin, slik at angripere kan beholde tilgang over tid.
Tunnelering betyr å opprette en kanal som frakter trafikk mellom den infiserte enheten og et system angriperen kontrollerer. I praksis kan dette gi en angriper en skjult vei inn til offerets maskin, og potensielt en måte å nå andre ressurser som enheten kan se. Rapporten beskriver resultatet som en skjult rute inn til ofrene, og det er kjernerisikoen: angriperens aktivitet kan smelte sammen med enhetens normale tilkoblinger.
Kilden gir ikke flere tekniske detaljer, som antall ofre, infrastrukturen bak kampanjen eller hvem som står bak, så vi vil ikke spekulere i disse punktene.
Hvorfor et tunnelimplantat er viktig for personvernet ditt
Et tunnelimplantat er bekymringsfullt på grunn av det det kan sitte mellom. En enhet på et hjemme- eller kontornettverk kan ha tilgang til personlige filer, lagrede økter, interne verktøy, delte stasjoner og andre tilkoblede enheter. Hvis en angriper har en skjult kanal inn til den maskinen, kan enheten bli et springbrett i stedet for bare ett kompromittert punkt.
Det er derfor en kopier-og-lim-feil kan få konsekvenser utover én bærbar PC. Tilgang av denne typen kan undergrave personvernet til alt enheten kommer i kontakt med. For ansatte kan det også øke risikoen for arbeidsgiverens systemer som er tilgjengelige fra et hjemme- eller fjernoppsett.
Dette er et lignende mønster som i andre tilfeller der vanlige nettverktøy blir vendt mot brukerne. For eksempel dekket vi nylig hvordan ondsinnede Chrome-utvidelser ble tatt for å stjele kryptodata, et annet tilfelle der noe som ser rutinemessig ut, blir veien inn.
Hva dette betyr for deg
Hovedpoenget er at du er målet for trikset, ikke bare programvaren din. En fullt oppdatert datamaskin kan fortsatt bli kompromittert hvis du blir overtalt til å kjøre en ondsinnet kommando. Alle som bruker en datamaskin og møter nettsider, popup-vinduer eller falske verifiserings- og feilmeldinger, kan bli utsatt for denne typen lokkemiddel.
Den gode nyheten er at forsvaret er enkelt og innenfor din kontroll. Angrepet avhenger av én handling, og å la være å utføre den bryter kjeden.
Advarselstegn og hvordan du beskytter deg selv
Se etter disse røde flaggene:
- En nettside ber deg kopiere tekst og lime den inn i Run-dialogen, Terminal eller PowerShell for å "fikse" et problem eller "bekrefte" at du er et menneske.
- Instruksjoner ber deg trykke tastatursnarveier som åpner et systemkommandovindu.
- En melding skaper hastverk og hevder at noe vil gå i stykker eller bli blokkert med mindre du handler umiddelbart.
- Du ser uforklarlige Python-prosesser eller ukjent bakgrunnsaktivitet etter å ha fulgt en slik instruksjon.
Hvis du tror du kjørte en mistenkelig kommando, koble enheten fra nettverket, kjør en full skanning med pålitelig endepunktsbeskyttelse, og bytt viktige passord fra en annen, ren enhet. Hvis maskinen brukes til arbeid, varsle IT- eller sikkerhetsteamet ditt umiddelbart.
Viktige punkter
ClickFix-angrepskampanjen med tunnelimplantat er en påminnelse om at én innliming kan ødelegge mange gode sikkerhetsvaner. For å redusere risikoen din:
- Lim aldri inn kommandoer fra en nettmelding i en terminal eller Run-dialog med mindre du fullt ut forstår dem og stoler på kilden.
- Hold operativsystemet og programvaren oppdatert, og bruk endepunktsbeskyttelse som kan flagge mistenkelig atferd.
- Behandle hastevarsler om "fiksing" og "verifisering" med mistanke, og lukk siden i stedet.
- Hold nettverkshygiene i perspektiv. En VPN kan være ett nyttig lag for å beskytte trafikken din, men den stopper ikke skadevare som du kjører på din egen enhet.
For et annet eksempel på misbruk av hverdagslige nettverktøy, les rapporten vår om ondsinnede nettleserutvidelser som stjeler kryptodata, og vær skeptisk til enhver melding som ber deg gjøre angriperens arbeid for dem.
