Chrome avertizează utilizatorii înainte să lipească comenzi ClickFix

Google adaugă în Chrome un nou strat de protecție îndreptat direct împotriva ClickFix, una dintre cele mai eficiente tehnici de inginerie socială din ultimii doi ani. Utilizatorii care au activat Protecția îmbunătățită (Enhanced Protection) vor vedea acum un avertisment atunci când o pagină încearcă să-i convingă să copieze și să ruleze o comandă malițioasă.

Ce s-a întâmplat

Atacurile ClickFix nu exploatează o vulnerabilitate software, ci victima. Vizitatorul ajunge pe un site compromis sau dă click pe o reclamă malițioasă și vede un mesaj fals — un CAPTCHA contrafăcut, o „verificare Cloudflare” sau o eroare inventată. Pagina pune în secret o comandă în clipboard și îi cere utilizatorului s-o lipească în fereastra Run din Windows sau în Terminal pe macOS, ca să „rezolve” problema.

După apăsarea tastei Enter pornește un lanț de infectare în mai multe etape, care se termină de obicei cu un infostealer sau un troian de acces la distanță. Atacatorii folosesc unelte deja prezente în sistem, precum PowerShell și cmd.exe (living-off-the-land), pentru a descărca etapele următoare și a trece neobservați.

Pentru că payload-ul este rulat de utilizator în afara browserului, ocolește protecțiile obișnuite ale Chrome pentru descărcări. Răspunsul Google este verificarea clipboard-ului:

Când un utilizator cu Protecție îmbunătățită copiază un posibil script ClickFix, conținutul clipboard-ului este curățat de date personale și verificat de Safe Browsing.
Dacă comanda este considerată periculoasă, Chrome afișează un avertisment înainte ca utilizatorul să o poată lipi și rula.

Google introduce și alte schimbări pentru utilizatorii cu Protecție îmbunătățită:

Un set mai clar de avertismente Safe Browsing, care separă site-urile suspecte (tipare înșelătoare asociate cu site-uri malițioase cunoscute) de cele periculoase (malițioase cunoscute, cu risc ridicat).
Folosirea pe scară mai largă a unui model de limbaj care rulează pe dispozitiv pentru a detecta escrocheriile de tip „suport tehnic”, paginile false de antivirus și falsele actualizări de browser. Google afirmă că datele paginii ajung la serverele sale doar la semnale puternice de înșelăciune și sunt procesate temporar, fără a fi stocate sau folosite la antrenare.
Un program de verificare a serviciilor financiare pentru advertiseri, început în SUA și Canada, care obligă firmele financiare să dovedească autorizarea de la autorități înainte ca reclamele lor să ruleze.

În paralel, Apple a anunțat că Safari și WebKit din viitoarele versiuni OS 27 vor bloca rezoluția identității (identity resolution), o tehnică de urmărire care transformă adresele de email introduse în formulare în identificatori persistenți între site-uri.

De ce contează

ClickFix funcționează pentru că transformă utilizatorul în mecanismul de livrare. Filtrele de email, scannerele de descărcări și multe reguli EDR nu văd nimic neobișnuit: o persoană a deschis o unealtă din sistem și a tastat o comandă. Verificarea clipboard-ului în browser închide o parte din această breșă, dar nu pe toată:

Protecția funcționează doar cu Protecția îmbunătățită activată, care nu este setarea implicită în Chrome.
Alte browsere și momelile livrate în afara browserului (chat, documente, email) nu sunt acoperite.
Atacatorii își vor adapta scripturile ca să pară inofensive sau le vor împărți în pași.

Ce trebuie făcut

Activați Protecția îmbunătățită în Chrome pe dispozitivele administrate, prin politici centralizate.
Instruiți angajații după o regulă simplă: niciun site legitim nu vă va cere să lipiți o comandă în Run, Terminal sau PowerShell. Includeți exemple ClickFix în materialele de conștientizare phishing.
Restricționați fereastra Run și motoarele de scripting pentru utilizatorii care nu au nevoie de ele și activați jurnalizarea PowerShell și Constrained Language Mode acolo unde este posibil.
Generați alerte pentru procese suspecte pornite din explorer.exe care lansează PowerShell, mshta sau curl cu conținut codificat sau de la distanță.
Porniți de la ideea că o momeală reușită înseamnă credențiale furate. Campaniile ClickFix se termină de obicei cu infostealere, așa că schimbați parolele și invalidați sesiunile utilizatorilor afectați.

Aici intervine de obicei echipa noastră: jurnalele infostealerelor din astfel de campanii ajung pe piețele infracționale, iar serviciul nostru de monitorizare Deep/Dark Web urmărește apariția credențialelor și datelor de sesiune ale organizației dumneavoastră acolo, ca să puteți reseta accesul înainte să fie folosit abuziv.

Relatarea originală: The Hacker News.