แคมเปญ ClickFix ครั้งใหม่แสดงให้เห็นว่าการคัดลอก-วางเพียงครั้งเดียวสามารถเปิดประตูสู่ устройствоและเครือข่ายโดยรอบได้อย่างไร ตามรายงานจาก GBHackers แคมเปญนี้ใช้ส่วนประกอบที่เรียกว่า Lorem Ipsum Loader เพื่อติดตั้ง Python-based tunneling implant ซึ่งมอบเส้นทางลับให้ผู้โจมตีเข้าถึงเหยื่อได้ ห่วงโซ่การโจมตี ClickFix tunneling implant นี้เป็นเครื่องเตือนใจที่มีประโยชน์ว่าการโจมตีที่มีประสิทธิผลที่สุดบางส่วนไม่ได้ใช้ช่องโหว่ของซอฟต์แวร์เลยด้วยซ้ำ พวกมันอาศัยการโน้มน้าวให้บุคคลรันโค้ดด้วยตนเอง
รายงานต้นทางนั้นสั้น ดังนั้นบทความนี้จึงยึดตามสิ่งที่ได้รับการยืนยันแล้วเท่านั้น: วิธีการส่งมอบ ตัวโหลด และประเภทของ implant ที่เกี่ยวข้อง ในจุดที่ไม่มีรายละเอียด เราจะระบุไว้เช่นนั้น
ClickFix หลอกผู้คนให้ติดเชื้อด้วยตัวเองได้อย่างไร
ClickFix เป็นเทคนิค social engineering แทนที่จะส่งมัลแวร์ผ่านการดาวน์โหลดที่ชัดเจน ผู้โจมตีจะแสดงข้อความแจ้งต่อเหยื่อที่ดูเหมือนเป็นการแก้ไขปัญหาตามปกติ ผู้ใช้จะถูกบอกให้คัดลอกคำสั่งและวางลงในหน้าต่างระบบ เช่น กล่อง Run ของ Windows หรือ terminal เนื่องจากผู้ใช้เป็นผู้ดำเนินการเอง ขั้นตอนนี้จึงสามารถหลบเลี่ยงการป้องกันที่ออกแบบมาเพื่อจับการดาวน์โหลดหรือไฟล์แนบที่น่าสงสัยได้
มุมที่ทำให้วิธีการนี้ได้ผลคือความเรียบง่าย ไม่มีตัวติดตั้งแปลกๆ ให้ต้องสงสัย บุคคลเพียงแค่ทำตามสิ่งที่ดูเหมือนเป็นคำแนะนำในการแก้ปัญหา ในแคมเปญนี้ คำสั่งที่วางลงไปคือสิ่งที่เริ่มต้นห่วงโซ่การติดเชื้อที่นำไปสู่ Lorem Ipsum Loader
Lorem Ipsum Loader และ tunneling implant ทำอะไร
ตัวโหลดคือโปรแกรมขนาดเล็กที่มีหน้าที่หลักในการนำสิ่งอื่นเข้ามา ในกรณีนี้ Lorem Ipsum Loader ติดตั้ง Python-based tunneling implant implant คือซอฟต์แวร์ที่ถูกทิ้งไว้ให้ทำงานบนเครื่องที่ถูกบุกรุกเพื่อให้ผู้โจมตีรักษาการเข้าถึงไว้ได้ในระยะยาว
Tunneling หมายถึงการสร้างช่องทางที่นำทราฟฟิกไปมาระหว่าง устройствоที่ติดเชื้อกับระบบที่ผู้โจมตีควบคุม ในทางปฏิบัติ สิ่งนี้สามารถมอบเส้นทางลับให้ผู้โจมตีเข้าสู่เครื่องของเหยื่อ และอาจเป็นหนทางไปถึงทรัพยากรอื่นที่ устройствоนั้นมองเห็นได้ รายงานอธิบายผลลัพธ์ว่าเป็นเส้นทางลับสู่เหยื่อ ซึ่งเป็นความเสี่ยงหลัก: กิจกรรมของผู้โจมตีสามารถกลมกลืนไปกับการเชื่อมต่อปกติของ устройствоได้
ต้นทางไม่ได้ให้รายละเอียดทางเทคนิคเพิ่มเติม เช่น จำนวนเหยื่อ โครงสร้างพื้นฐานเบื้องหลังแคมเปญ หรือผู้ที่รับผิดชอบ ดังนั้นเราจะไม่คาดเดาในประเด็นเหล่านั้น
ทำไม tunneling implant จึงสำคัญต่อความเป็นส่วนตัวของคุณ
tunneling implant น่ากังวลเพราะสิ่งที่มันสามารถแทรกอยู่ตรงกลางได้ устройствоบนเครือข่ายที่บ้านหรือที่ทำงานอาจมีการเข้าถึงไฟล์ส่วนตัว เซสชันที่บันทึกไว้ เครื่องมือภายใน ไดรฟ์ที่แชร์ และ устройствоอื่นๆ ที่เชื่อมต่ออยู่ หากผู้โจมตีมีช่องทางซ่อนเร้นเข้าสู่เครื่องนั้น устройนั้นสามารถกลายเป็นบันไดไปสู่ที่อื่น มากกว่าจะเป็นเพียงจุดที่ถูกบุกรุกจุดเดียว
นั่นคือเหตุผลที่ความผิดพลาดจากการคัดลอก-วางสามารถส่งผลกระทบเกินกว่าคอมพิวเตอร์โน้ตบุ๊กเครื่องเดียว การเข้าถึงประเภทนี้สามารถบ่อนทำลายความเป็นส่วนตัวของทุกสิ่งที่สุดที่ устройствоนั้นแตะต้อง สำหรับพนักงาน อาจเพิ่มความเสี่ยงต่อระบบของนายจ้างที่เข้าถึงได้จากบ้านหรือการตั้งค่าทำงานระยะไกล
นี่เป็นรูปแบบที่คล้ายกับกรณีอื่นๆ ที่เครื่องมือเว็บธรรมดาถูกหันมาใช้ต่อต้านผู้ใช้ ตัวอย่างเช่น เราเพิ่งรายงานว่า ส่วนขยาย Chrome ที่เป็นอันตรายถูกจับได้ว่าขโมยข้อมูลคริปโต ซึ่งเป็นอีกกรณีที่สิ่งที่ดูเป็นกิจวัตรกลายเป็นช่องทางเข้าสู่ระบบ
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
ประเด็นสำคัญคือคุณคือเป้าหมายของกลลวง ไม่ใช่แค่ซอฟต์แวร์ของคุณ คอมพิวเตอร์ที่อัปเดตเต็มที่แล้วก็ยังสามารถถูกบุกรุกได้หากคุณถูกโน้มน้าวให้รันคำสั่งที่เป็นอันตราย ใครก็ตามที่ใช้คอมพิวเตอร์และพบเจอหน้าเว็บ ป๊อปอัป หรือข้อความแจ้งการยืนยันและข้อผิดพลาดปลอม อาจเสี่ยงต่อการล่อลวงประเภทนี้
ข่าวดีคือการป้องกันนั้นเรียบง่ายและอยู่ในความควบคุมของคุณ การโจมตีขึ้นอยู่กับการกระทำเพียงอย่างเดียว และการปฏิเสธที่จะทำจะตัดห่วงโซ่ทิ้ง
สัญญาณเตือนและวิธีปกป้องตัวเอง
ระวังสัญญาณเตือนเหล่านี้:
- หน้าเว็บบอกให้คุณคัดลอกข้อความและวางลงในกล่อง Run, Terminal หรือ PowerShell เพื่อ "แก้ไข" ปัญหาหรือ "ยืนยัน" ว่าคุณเป็นมนุษย์
- คำแนะนำบอกให้คุณกดปุ่มลัดที่เปิดหน้าต่างคำสั่งของระบบ
- ข้อความแจ้งสร้างความเร่งด่วน อ้างว่าบางสิ่งจะพังหรือถูกบล็อกเว้นแต่คุณจะลงมือทันที
- คุณเห็นกระบวนการ Python ที่อธิบายไม่ได้หรือกิจกรรมเบื้องหลังที่ไม่คุ้นเคยหลังจากทำตามคำแนะนำดังกล่าว
หากคุณคิดว่าคุณรันคำสั่งที่น่าสงสัย ให้ตัด устройствоออกจากเครือข่าย รันการสแกนเต็มรูปแบบด้วยการป้องกัน endpoint ที่เชื่อถือได้ และเปลี่ยนรหัสผ่านสำคัญจาก устройствоอื่นที่สะอาด หากเครื่องนั้นใช้สำหรับงาน ให้แจ้งทีม IT หรือทีมความปลอดภัยทันที
ประเด็นสำคัญ
แคมเปญ ClickFix attack tunneling implant เป็นเครื่องเตือนใจว่าการวางครั้งเดียวสามารถทำลายนิสัยความปลอดภัยที่ดีมากมายได้ เพื่อลดความเสี่ยงของคุณ:
- อย่าวางคำสั่งจากข้อความบนเว็บ ลงใน terminal หรือกล่อง Run เว้นแต่คุณจะเข้าใจอย่างถ่องแท้และเชื่อถือแหล่งที่มา
- อัปเดตระบบปฏิบัติการและซอฟต์แวร์ของคุณอยู่เสมอ และใช้การป้องกัน endpoint ที่สามารถตั้งค่าสถานะพฤติกรรมที่น่าสงสัยได้
- มองข้อความแจ้ง "แก้ไข" และ "ยืนยัน" ที่เร่งด่วนด้วยความสงสัย และปิดหน้าเว็บนั้นแทน
- มองสุขอนามัยของเครือข่ายตามความเป็นจริง VPN สามารถเป็นชั้นที่มีประโยชน์ชั้นหนึ่งในการปกป้องทราฟฟิกของคุณ แต่ไม่ได้หยุดมัลแวร์ที่คุณรันบน устройствоของคุณเอง
สำหรับอีกตัวอย่างหนึ่งของเครื่องมือเว็บในชีวิตประจำวันที่ถูกนำไปใช้ในทางที่ผิด อ่านรายงานของเราเกี่ยวกับ ส่วนขยายเบราว์เซอร์ที่เป็นอันตรายขโมยข้อมูลคริปโต และจงสงสัยต่อข้อความแจ้งใดๆ ที่ขอให้คุณทำงานของผู้โจมตีแทนพวกเขา
