Новая кампания ClickFix показывает, как одно действие копирования и вставки может открыть дверь в устройство и окружающую его сеть. Согласно отчёту GBHackers, кампания использует компонент под названием Lorem Ipsum Loader для установки туннелирующего импланта на основе Python, предоставляя злоумышленникам скрытый маршрут к жертвам. Эта цепочка атаки ClickFix с туннелирующим имплантом — полезное напоминание о том, что некоторые из самых эффективных атак вообще не эксплуатируют уязвимости программного обеспечения. Они полагаются на убеждение человека запустить код самостоятельно.
Исходный отчёт краток, поэтому данная статья придерживается только подтверждённых фактов: способ доставки, загрузчик и тип задействованного импланта. Там, где детали недоступны, мы об этом сообщаем.
Как ClickFix обманом заставляет людей заражать себя
ClickFix — это метод социальной инженерии. Вместо доставки вредоносного ПО через очевидную загрузку злоумышленник показывает жертве запрос, выглядящий как рутинное исправление проблемы. Пользователю предлагают скопировать команду и вставить её в системное окно, например в диалог «Выполнить» Windows или терминал. Поскольку действие выполняет сам пользователь, этот шаг может обойти защиты, предназначенные для обнаружения подозрительных загрузок или вложений.
Подход, делающий этот метод эффективным, — это простота. Нет никакого странного установщика, вызывающего вопросы. Человек просто следует тому, что выглядит как инструкция по устранению неполадок. В этой кампании именно вставленная команда запускает цепочку заражения, ведущую к Lorem Ipsum Loader.
Что делают Lorem Ipsum Loader и туннелирующий имплант
Загрузчик — это небольшая программа, основная задача которой — доставить что-то другое. Здесь Lorem Ipsum Loader устанавливает туннелирующий имплант на основе Python. Имплант — это программное обеспечение, оставленное работающим на скомпрометированной машине, чтобы злоумышленники могли сохранять доступ с течением времени.
Туннелирование означает создание канала, который передаёт трафик между заражённым устройством и системой, контролируемой злоумышленником. На практике это может дать злоумышленнику скрытый путь к машине жертвы и потенциально способ достичь других ресурсов, видимых устройству. В отчёте результат описывается как скрытый маршрут к жертвам, и это и есть основная угроза: активность злоумышленника может сливаться с обычными соединениями устройства.
Источник не предоставляет дальнейших технических подробностей, таких как количество жертв, инфраструктура за кампанией или кто несёт ответственность, поэтому мы не будем строить предположения по этим пунктам.
Почему туннелирующий имплант важен для вашей приватности
Туннелирующий имплант вызывает беспокойство из-за того, между чем он может находиться. Устройство в домашней или офисной сети может иметь доступ к личным файлам, сохранённым сессиям, внутренним инструментам, общим дискам и другим подключённым устройствам. Если у злоумышленника есть скрытый канал к этой машине, устройство может стать трамплином, а не просто единичной точкой компрометации.
Вот почему ошибка при копировании и вставке может иметь последствия, выходящие за пределы одного ноутбука. Такой доступ может подорвать приватность всего, чего касается устройство. Для работников это также может повысить риск для систем работодателя, доступных из домашней или удалённой среды.
Это аналогичный паттерн другим случаям, когда обычные веб-инструменты обращаются против пользователей. Например, мы недавно рассказывали о том, как вредоносные расширения Chrome были пойманы на краже криптоданных, — ещё один случай, когда что-то выглядящее рутинным становится способом проникновения.
Что это значит для вас
Ключевой момент в том, что цель трюка — вы, а не только ваше программное обеспечение. Полностью обновлённый компьютер всё равно может быть скомпрометирован, если вас убедят выполнить вредоносную команду. Любой, кто пользуется компьютером и сталкивается с веб-страницами, всплывающими окнами или поддельными запросами проверки и ошибок, может подвергнуться такой приманке.
Хорошая новость в том, что защита проста и находится под вашим контролем. Атака зависит от одного действия, и отказ от его выполнения разрывает цепочку.
Предупреждающие признаки и способы защитить себя
Следите за этими тревожными сигналами:
- Веб-страница просит вас скопировать текст и вставить его в диалог «Выполнить», Терминал или PowerShell, чтобы «исправить» проблему или «подтвердить», что вы человек.
- Инструкции предлагают нажать сочетания клавиш, открывающие системное окно команд.
- Запрос создаёт срочность, утверждая, что что-то сломается или будет заблокировано, если вы не действуете немедленно.
- Вы видите необъяснимые процессы Python или незнакомую фоновую активность после выполнения любой такой инструкции.
Если вы считаете, что выполнили подозрительную команду, отключите устройство от сети, запустите полное сканирование с помощью надёжной endpoint-защиты и смените важные пароли с другого, чистого устройства. Если машина используется для работы, немедленно сообщите вашей ИТ- или службе безопасности.
Ключевые выводы
Кампания атаки ClickFix с туннелирующим имплантом — напоминание о том, что одна вставка может свести на нет множество хороших привычек безопасности. Чтобы снизить риск:
- Никогда не вставляйте команды из веб-запроса в терминал или диалог «Выполнить», если вы не понимаете их полностью и не доверяете источнику.
- Своевременно обновляйте операционную систему и программное обеспечение и используйте endpoint-защиту, способную выявлять подозрительное поведение.
- Относитесь к срочным запросам «исправить» и «подтвердить» с подозрением и вместо этого закройте страницу.
- Сохраняйте перспективу в отношении сетевой гигиены. VPN может быть одним полезным уровнем защиты вашего трафика, но он не останавливает вредоносное ПО, которое вы запускаете на собственном устройстве.
Ещё один пример злоупотребления повседневными веб-инструментами — читайте наш отчёт о вредоносных браузерных расширениях, крадущих криптоданные, и оставайтесь скептичны к любому запросу, предлагающему выполнить работу злоумышленника за него.
