แคมเปญ ClickFix ที่เพิ่งถูกบันทึกไว้ได้เติบโตอย่างเงียบๆ จนกลายเป็นเครือข่ายโดเมนกว่า 250 โดเมน ทั้งหมดถูกสร้างขึ้นเพื่อหลอกให้ผู้ใช้ Mac ติดตั้งมัลแวร์ด้วยตัวเอง สิ่งที่ทำให้ปฏิบัติการครั้งนี้โดดเด่นไม่ใช่แค่ขนาดของมัน แต่เป็นความจริงที่ว่าผู้โจมตีใช้การพิมพ์ลายนิ้วมือเบราว์เซอร์ ซึ่งเป็นเทคนิคการติดตามแบบเดียวกับที่นักโฆษณาและนายหน้าข้อมูลใช้ เพื่อตัดสินว่าใครจะถูกแสดงเหยื่อล่อที่เป็นอันตรายและใครจะได้เห็นหน้าที่ไม่เป็นอันตรายแทน

วิธีที่แคมเปญ ClickFix ซ่อนร่องรอยของมัน

การโจมตีแบบ ClickFix มีรูปแบบที่คุ้นเคย: เว็บไซต์ปลอมบอกผู้เยี่ยมชมว่าเบราว์เซอร์หรือระบบของตนมีข้อผิดพลาด จากนั้นแนะนำให้คัดลอกและวางคำสั่งลงใน Terminal เพื่อ "แก้ไข" ซึ่งคำสั่งนั้นจะติดตั้งมัลแวร์ ในกรณีนี้คือตัวแปรที่เกี่ยวข้องกับ AMOS ซึ่งเป็น infostealer ของ macOS ที่ออกแบบมาเพื่อขโมยรหัสผ่านที่บันทึกไว้ ข้อมูลเบราว์เซอร์ และข้อมูลกระเป๋าคริปโทเคอร์เรนซี

สิ่งที่ทำให้แคมเปญนี้แตกต่างคือการพิมพ์ลายนิ้วมือฝั่งเซิร์ฟเวอร์ แทนที่จะแสดงเหยื่อล่อที่เป็นอันตรายให้ผู้เยี่ยมชมทุกคน โครงสร้างพื้นฐานของผู้โจมตีจะตรวจสอบรายละเอียดเกี่ยวกับเบราว์เซอร์ที่เข้ามา เช่น ความละเอียดหน้าจอ ฟอนต์ที่ติดตั้ง สตริง user-agent และสัญญาณการตั้งค่าที่ละเอียดอ่อนอื่นๆ ก่อนตัดสินใจว่าจะแสดงอะไร เครื่องสแกนความปลอดภัย โปรแกรมรวบรวมข้อมูลอัตโนมัติ และนักวิจัยที่ตรวจสอบโดเมนมักจะได้รับหน้าที่สะอาดและไม่โดดเด่น ผู้ใช้ Mac จริงที่เรียกดูตามปกติคือผู้ที่ถูกส่งเข้าสู่เหยื่อล่อ ClickFix

นี่คือวิวัฒนาการที่มีความหมายในวิธีที่แคมเปญมัลแวร์หลบเลี่ยงการตรวจจับ แทนที่จะพึ่งพาโค้ดที่ถูกทำให้งงงวยหรือโดเมนอายุสั้นเพียงอย่างเดียว ผู้ดำเนินการกำลังใช้เทคนิคการระบุตัวตนแบบพาสซีฟเพื่อกรองผู้ชมก่อนที่การโจมตีจะเริ่มขึ้น ด้วยรายงานว่าโดเมนที่เกี่ยวข้องมีมากกว่า 250 โดเมน แคมเปญนี้มีความซ้ำซ้อนมากพอที่การนำไซต์แต่ละแห่งลงจะไม่ทำให้มันช้าลงโดยรวม

ลายพิมพ์นิ้วมือ: เครื่องมือสำหรับทั้งนักโฆษณาและผู้โจมตี

การพิมพ์ลายนิ้วมือเบราว์เซอร์ไม่ใช่เรื่องใหม่ และไม่ได้เป็นอันตรายในตัวมันเอง เว็บไซต์และเครือข่ายโฆษณาได้ใช้เทคนิคที่คล้ายกันมาหลายปีเพื่อติดตามผู้ใช้ข้ามเซสชันโดยไม่ต้องพึ่งคุกกี้ สิ่งที่แคมเปญนี้แสดงให้เห็นคือวิธีที่วิธีการโปรไฟล์แบบพาสซีฟแบบเดียวกันที่ใช้ในการติดตามเชิงพาณิชย์สามารถถูกนำไปใช้ใหม่เพื่อเสิร์ฟมัลแวร์อย่างเลือกสรรในขณะที่หลบเลี่ยงการตรวจจับ

ความทับซ้อนนั้นควรค่าแก่การหยุดคิด ทุกครั้งที่เบราว์เซอร์เปิดเผยรายละเอียดทางเทคนิคที่ละเอียดให้กับเว็บไซต์ มันจะสร้างโอกาสให้ข้อมูลนั้นถูกใช้ในวิธีที่ผู้เยี่ยมชมไม่เคยคาดคิด ไม่ว่าจะโดยการแลกเปลี่ยนโฆษณาที่สร้างโปรไฟล์ หรือในกรณีนี้ ผู้ดำเนินการมัลแวร์ตัดสินใจว่าใครควรค่าแก่การโจมตี ผู้อ่านที่ต้องการเจาะลึกยิ่งขึ้นเกี่ยวกับการพิมพ์ลายมือและกลไกการติดตามอื่นๆ และเครื่องมือความเป็นส่วนตัวมาตรฐานสามารถทำอะไรได้และไม่สามารถหยุดได้ อาจพบว่าการกลับมาอ่าน VPN คืออะไรและทำงานอย่างไร มีประโยชน์ เนื่องจากการพิมพ์ลายนิ้วมือเป็นหนึ่งในวิธีการติดตามที่ VPN เพียงอย่างเดียวไม่สามารถทำให้เป็นกลางได้อย่างสมบูรณ์

ทำไมเรื่องนี้จึงสำคัญนอกเหนือจาก macOS

แม้ว่าแคมเปญนี้จะมุ่งเป้าไปที่ผู้ใช้ Mac ด้วย infostealer แบบ AMOS แต่เทคนิคพื้นฐานคือการใช้การพิมพ์ลายนิ้วมือเพื่อปิดบังเนื้อหาที่เป็นอันตรายจากระบบป้องกันอัตโนมัติอย่างเลือกสรร ไม่ได้จำกัดอยู่ที่แพลตฟอร์มใดแพลตฟอร์มหนึ่ง มันสะท้อนถึงแนวโน้มที่กว้างขึ้นของผู้ดำเนินการมัลแวร์ที่ยืมเครื่องมือจากโลก ad-tech และการวิเคราะห์มาใช้เพื่อทำให้โครงสร้างพื้นฐานของพวกเขาทนทานยิ่งขึ้น ตรรกะการปิดบังที่คล้ายคลึงกันปรากฏในแคมเปญล่าสุดอื่นๆ ที่ซ่อนเพย์โหลดที่เป็นอันตรายภายในบริการที่ดูถูกกฎหมาย เช่น เทคนิค msaRAT ของกลุ่มแรนซัมแวร์ Chaos ซึ่งซ่อนการรับส่งคำสั่งและการควบคุมภายในกระบวนการของเบราว์เซอร์ที่เชื่อถือได้ จุดร่วมคือการหลบหลีกด้วยความถูกต้องตามกฎหมาย: ผู้โจมตีซ่อนตัวในที่แจ้งมากขึ้นแทนที่จะพึ่งพาโครงสร้างพื้นฐานที่น่าสงสัยอย่างชัดเจน

สิ่งนี้หมายความสำหรับคุณ

หากคุณใช้ Mac ความเสี่ยงในทางปฏิบัติตรงไปตรงมา: เว็บไซต์ใดก็ตามที่ขอให้คุณเปิด Terminal และวางคำสั่งเพื่อ "แก้ไข" ข้อผิดพลาด ยืนยันว่าคุณเป็นมนุษย์ หรือแก้ไขปัญหาความปลอดภัยที่ควรถูกมองว่าเป็นธงแดง การอัปเดตซอฟต์แวร์และขั้นตอนการแก้ปัญหาที่ถูกต้องจะไม่ทำงานในลักษณะนี้ ไม่มีการแก้ไข อัปเดตเบราว์เซอร์ หรือการยืนยัน CAPTCHA ที่แท้จริงใดๆ ที่ต้องการให้คุณรันคำสั่งเชลล์ด้วยตนเอง

เนื่องจากแคมเปญนี้อาศัยการพิมพ์ลายนิ้วมือเพื่อกำหนดเป้าหมายผู้ใช้จริงอย่างเลือกสรร เครื่องมือสแกนความปลอดภัยทั่วไปอาจไม่สามารถตรวจจับมันได้ตั้งแต่เนิ่นๆ ซึ่งทำให้น้ำหนักไปอยู่ที่ความตระหนักรู้ของผู้ใช้มากขึ้น นี่เป็นเครื่องเตือนใจว่าการติดตามแบบใช้ลายพิมพ์นิ้วมือ ซึ่งทั้งนักโฆษณาและผู้โจมตีใช้ ส่วนใหญ่จะมองไม่เห็นในเซสชันเบราว์เซอร์ปกติ เว้นแต่คุณจะใช้การป้องกันความเป็นส่วนตัวที่ออกแบบมาเพื่อจำกัดสิ่งที่อุปกรณ์ของคุณเปิดเผยอย่างจริงจัง

ข้อควรปฏิบัติที่นำไปใช้ได้

  • อย่าวางคำสั่งลงใน Terminal หรือ Run เพราะเว็บไซต์บอกให้คุณทำ ไม่ว่าหน้านั้นจะดูเป็นทางการแค่ไหน
  • อัปเดต macOS และเบราว์เซอร์ของคุณให้ทันสมัยอยู่เสมอ และสงสัยไว้ก่อนเมื่อป๊อปอัปอ้างว่าจำเป็นต้องแก้ไขเร่งด่วน
  • ใช้การตั้งค่าเบราว์เซอร์หรือส่วนขยายที่จำกัดพื้นที่ผิวของการพิมพ์ลายนิ้วมือ เช่น การจำกัดการแจกแจงฟอนต์และการเข้าถึง canvas หากเป็นไปได้
  • หากคุณกำลังค้นคว้าว่าเครื่องมือเข้ารหัสและความเป็นส่วนตัวประกอบเข้ากับกลยุทธ์การป้องกันที่กว้างขึ้นได้อย่างไร ทำความเข้าใจการเข้ารหัส VPN เป็นจุดเริ่มต้นที่ดี แต่จำไว้ว่าการป้องกันการพิมพ์ลายนิ้วมือต้องการการป้องกันในระดับเบราว์เซอร์แยกต่างหาก

แคมเปญ ClickFix นี้เป็นกรณีศึกษาที่มีประโยชน์เกี่ยวกับวิธีที่ผู้โจมตีปรับตัว: ไม่ใช่ด้วยการประดิษฐ์มัลแวร์ใหม่ แต่ด้วยการยืมโครงสร้างพื้นฐานการติดตามของเว็บสมัยใหม่มาทำให้กลอุบายเก่าตรวจจับได้ยากขึ้น การระมัดระวังคำแนะนำ "ซ่อมด้วยตัวเอง" ที่ไม่พึงประสงค์ยังคงเป็นการป้องกันที่ง่ายและมีประสิทธิภาพที่สุด