En ny ClickFix-kampanj visar hur en enda kopiera-klistra in-åtgärd kan öppna en dörr in i en enhet och nätverket runt den. Enligt rapportering från GBHackers använder kampanjen en komponent som kallas Lorem Ipsum Loader för att installera ett Python-baserat tunnling-implantat, vilket ger angripare en hemlig väg in till offren. Denna ClickFix-attack med tunnling-implantatkedja är en användbar påminnelse om att några av de mest effektiva attackerna inte utnyttjar mjukvarubrister alls. De bygger på att övertala en person att köra koden själv.
Källrapporten är kortfattad, så den här artikeln håller sig till det som har bekräftats: leveransmetoden, loadern och vilken typ av implantat som är inblandat. Där detaljer inte finns tillgängliga säger vi det.
Hur ClickFix lurar människor att infektera sig själva
ClickFix är en social engineering-teknik. Istället för att leverera skadlig kod via en uppenbar nedladdning visar angriparen offret en uppmaning som ser ut som en rutinmässig åtgärd för ett problem. Användaren ombeds kopiera ett kommando och klistra in det i ett systemfönster, såsom Windows Run-dialogen eller en terminal. Eftersom användaren utför åtgärden kan steget kringgå skydd som är utformade för att fånga misstänkta nedladdningar eller bilagor.
Vinkeln som gör detta tillvägagångssätt effektivt är enkelheten. Det finns ingen märklig installerare att ifrågasätta. En person följer bara vad som verkar vara en felsökningsinstruktion. I den här kampanjen är det inklistrade kommandot det som startar infektionskedjan som leder till Lorem Ipsum Loader.
Vad Lorem Ipsum Loader och tunnling-implantatet gör
En loader är ett litet program vars huvudsakliga uppgift är att hämta in något annat. Här installerar Lorem Ipsum Loader ett Python-baserat tunnling-implantat. Ett implantat är en programvara som lämnas körande på en komprometterad maskin så att angripare kan behålla åtkomst över tid.
Tunnling innebär att skapa en kanal som transporterar trafik mellan den infekterade enheten och ett system som angriparen kontrollerar. I praktiska termer kan detta ge en angripare en hemlig väg in i offrets maskin, och potentiellt ett sätt att nå andra resurser som enheten kan se. Rapporten beskriver resultatet som en hemlig väg in till offren, vilket är kärnrisken: angriparens aktivitet kan smälta in med enhetens normala anslutningar.
Källan ger inte ytterligare teknisk information, såsom antalet offer, infrastrukturen bakom kampanjen eller vem som är ansvarig, så vi kommer inte att spekulera om dessa punkter.
Varför ett tunnling-implantat spelar roll för din integritet
Ett tunnling-implantat är oroande på grund av vad det kan sitta mellan. En enhet på ett hem- eller kontorsnätverk kan ha åtkomst till personliga filer, sparade sessioner, interna verktyg, delade enheter och andra anslutna enheter. Om en angripare har en dold kanal in i den maskinen kan enheten bli en språngbräda snarare än bara en enda komprometteringspunkt.
Det är därför ett kopiera-klistra in-misstag kan få effekter bortom en enda laptop. Åtkomst av detta slag kan undergräva integriteten för allt enheten rör vid. För arbetstagare kan det också öka risken för arbetsgivarens system som nås från en hem- eller fjärruppsättning.
Detta är ett liknande mönster som i andra fall där vanliga webbverktyg vänds mot användare. Vi har till exempel nyligen rapporterat om hur skadliga Chrome-tillägg greps för att stjäla kryptodata, ännu ett fall där något som ser rutinmässigt ut blir vägen in.
Vad detta innebär för dig
Den viktigaste poängen är att du är målet för tricket, inte bara din mjukvara. En fullt uppdaterad dator kan fortfarande komprometteras om du övertalas att köra ett skadligt kommando. Alla som använder en dator och stöter på webbsidor, popup-fönster eller falska verifierings- och felmeddelanden kan exponeras för denna typ av lockbete.
De goda nyheterna är att försvaret är enkelt och inom din kontroll. Attacken är beroende av en enda åtgärd, och att avstå från att utföra den bryter kedjan.
Varningstecken och hur du skyddar dig
Håll utkik efter dessa varningsflaggor:
- En webbsida ber dig kopiera text och klistra in den i Run-dialogen, Terminal eller PowerShell för att "åtgärda" ett problem eller "verifiera" att du är människa.
- Instruktioner säger åt dig att trycka på tangentbordsgenvägar som öppnar ett systemkommandofönster.
- En uppmaning skapar brådska och hävdar att något kommer att gå sönder eller blockeras om du inte agerar omedelbart.
- Du ser oförklarliga Python-processer eller okänd bakgrundsaktivitet efter att ha följt någon sådan instruktion.
Om du tror att du körde ett misstänkt kommando, koppla bort enheten från nätverket, kör en fullständig genomsökning med pålitligt endpoint-skydd och ändra viktiga lösenord från en annan, ren enhet. Om maskinen används för arbete, meddela din IT- eller säkerhetsavdelning omedelbart.
Viktiga slutsatser
ClickFix-attacken med tunnling-implantat är en påminnelse om att en enda inklistring kan omintetgöra många goda säkerhetsvanor. För att minska din risk:
- Klistra aldrig in kommandon från en webbuppmaning i en terminal eller Run-dialogen om du inte fullt ut förstår dem och litar på källan.
- Håll ditt operativsystem och din mjukvara uppdaterade, och använd endpoint-skydd som kan flagga misstänkt beteende.
- Behandla brådskande "åtgärda"- och "verifiera"-uppmaningar med misstänksamhet, och stäng sidan istället.
- Håll nätverkshygien i perspektiv. En VPN kan vara ett användbart lager för att skydda din trafik, men det stoppar inte skadlig kod som du kör på din egen enhet.
För ett annat exempel på vardagliga webbverktyg som missbrukas, läs vår rapport om skadliga webbläsartillägg som stjäl kryptodata, och förbli skeptisk till varje uppmaning som ber dig att göra angriparens arbete åt dem.
