Yeni bir ClickFix kampanyası, tek bir kopyala-yapıştır işleminin bir cihaza ve çevresindeki ağa nasıl kapı açabileceğini gösteriyor. GBHackers'ın haberine göre kampanya, saldırganlara kurbanlara gizli bir yol sağlayan Python tabanlı bir tünelleme implantı kurmak için Lorem Ipsum Loader adlı bir bileşen kullanıyor. Bu ClickFix saldırısı tünelleme implantı zinciri, en etkili saldırıların bazılarının yazılım açıklarını hiç kullanmadığını hatırlatıyor. Bunlar bir kişiyi kodu kendisi çalıştırmaya ikna etmeye dayanıyor.
Kaynak rapor kısa olduğundan bu makale doğrulanmış olanlarla sınırlı kalıyor: dağıtım yöntemi, loader ve söz konusu implant türü. Ayrıntıların mevcut olmadığı yerlerde bunu belirtiyoruz.
ClickFix insanları kendilerini nasıl enfekte etmeye kandırıyor
ClickFix bir sosyal mühendislik tekniğidir. Saldırgan, kötü amaçlı yazılımı bariz bir indirme yoluyla iletmek yerine kurbana bir sorun için rutin bir düzeltme gibi görünen bir istem gösterir. Kullanıcıya bir komutu kopyalayıp Windows Çalıştır iletişim kutusu veya bir terminal gibi bir sistem penceresine yapıştırması söylenir. İşlemi kullanıcı gerçekleştirdiği için bu adım, şüpheli indirmeleri veya ekleri yakalamak üzere tasarlanmış korumaları atlayabilir.
Bu yaklaşımı etkili kılan yön basitliğidir. Sorgulanacak tuhaf bir yükleyici yoktur. Kişi yalnızca bir sorun giderme talimatı gibi görünen şeyi takip ediyordur. Bu kampanyada, yapıştırılan komut, Lorem Ipsum Loader'a götüren enfeksiyon zincirini başlatan şeydir.
Lorem Ipsum Loader ve tünelleme implantı ne yapıyor
Bir loader, asıl görevi başka bir şeyi getirmek olan küçük bir programdır. Burada Lorem Ipsum Loader, Python tabanlı bir tünelleme implantı kurar. Bir implant, saldırganların zaman içinde erişimi sürdürebilmesi için ele geçirilmiş bir makinede çalışır durumda bırakılan bir yazılım parçasıdır.
Tünelleme, enfekte cihaz ile saldırganın kontrol ettiği bir sistem arasında trafik taşıyan bir kanal oluşturmak anlamına gelir. Pratikte bu, bir saldırgana kurbanın makinesine gizli bir yol ve potansiyel olarak cihazın görebildiği diğer kaynaklara ulaşma imkânı verebilir. Rapor, sonucu kurbanlara gizli bir yol olarak tanımlıyor; asıl risk de budur: saldırganın etkinliği cihazın normal bağlantılarıyla karışabilir.
Kaynak; kurban sayısı, kampanyanın arkasındaki altyapı veya sorumlunun kim olduğu gibi ek teknik ayrıntılar sunmuyor; bu nedenle bu noktalarda tahmin yürütmeyeceğiz.
Tünelleme implantı gizliliğiniz için neden önemli
Bir tünelleme implantı, arada konumlanabildiği şeyler nedeniyle endişe vericidir. Ev veya ofis ağındaki bir cihaz; kişisel dosyalara, kayıtlı oturumlara, dahili araçlara, paylaşılan sürücülere ve diğer bağlı cihazlara erişime sahip olabilir. Bir saldırganın o makineye gizli bir kanalı varsa, cihaz yalnızca tek bir ihlal noktası olmakla kalmaz, bir atlama taşına dönüşebilir.
Bu nedenle bir kopyala-yapıştır hatasının etkileri tek bir dizüstü bilgisayarın ötesine geçebilir. Bu tür bir erişim, cihazın dokunduğu her şeyin gizliliğini zayıflatabilir. Çalışanlar için evden veya uzaktan kurulumdan erişilebilen işveren sistemleri açısından da riski artırabilir.
Bu, sıradan web araçlarının kullanıcılara karşı çevrildiği diğer vakalarla benzer bir örüntüdür. Örneğin, yakın zamanda kötü amaçlı Chrome uzantılarının kripto verilerini çalarken yakalandığını ele almıştık; bu da rutin görünen bir şeyin giriş yolu hâline geldiği bir başka vakadır.
Bu Sizin İçin Ne Anlama Geliyor
Kilit nokta, tuzağın hedefinin yalnızca yazılımınız değil siz olduğunuzdur. Tamamen güncellenmiş bir bilgisayar, kötü amaçlı bir komutu çalıştırmaya ikna edilirseniz yine de ele geçirilebilir. Bilgisayar kullanan ve web sayfaları, açılır pencereler veya sahte doğrulama ve hata istemleriyle karşılaşan herkes bu tür bir tuzağa maruz kalabilir.
İyi haber şu ki savunma basit ve sizin kontrolünüzde. Saldırı tek bir eyleme bağlıdır ve bunu yapmayı reddetmek zinciri kırar.
Uyarı işaretleri ve kendinizi nasıl koruyacağınız
Şu kırmızı bayraklara dikkat edin:
- Bir web sayfası, bir sorunu "düzeltmek" veya insan olduğunuzu "doğrulamak" için metni kopyalayıp Çalıştır iletişim kutusuna, Terminal'e veya PowerShell'e yapıştırmanızı ister.
- Talimatlar, bir sistem komut penceresi açan klavye kısayollarına basmanızı söyler.
- Bir istem, hemen harekete geçmezseniz bir şeyin bozulacağını veya engelleneceğini iddia ederek aciliyet yaratır.
- Bu tür bir talimatı izledikten sonra açıklanamayan Python süreçleri veya tanıdık olmayan arka plan etkinliği görürsünüz.
Şüpheli bir komut çalıştırdığınızı düşünüyorsanız cihazı ağdan ayırın, saygın bir uç nokta korumasıyla tam tarama yapın ve önemli parolaları farklı, temiz bir cihazdan değiştirin. Makine iş için kullanılıyorsa derhal BT veya güvenlik ekibinize bildirin.
Önemli çıkarımlar
ClickFix saldırısı tünelleme implantı kampanyası, tek bir yapıştırmanın birçok iyi güvenlik alışkanlığını bozabileceğini hatırlatıyor. Riskinizi azaltmak için:
- Bir web isteminden gelen komutları, tam olarak anlamadığınız ve kaynağa güvenmediğiniz sürece bir terminale veya Çalıştır iletişim kutusuna asla yapıştırmayın.
- İşletim sisteminizi ve yazılımınızı yamalı tutun ve şüpheli davranışları işaretleyebilen uç nokta koruması kullanın.
- Acil "düzeltme" ve "doğrulama" istemlerine şüpheyle yaklaşın ve bunun yerine sayfayı kapatın.
- Ağ hijyenini perspektifte tutun. Bir VPN, trafiğinizi korumak için yararlı bir katman olabilir, ancak kendi cihazınızda çalıştırdığınız kötü amaçlı yazılımı durdurmaz.
Günlük web araçlarının kötüye kullanıldığı bir başka örnek için kripto verilerini çalan kötü amaçlı tarayıcı uzantıları hakkındaki raporumuzu okuyun ve sizden saldırganın işini yapmanızı isteyen her isteme karşı şüpheci olun.
