Forscher haben eine weitere Methode entdeckt, die im Sinne von ClickFix verwendet wird: CrashFix.
ClickFix-Kampagnen nutzen überzeugende Köder – in der Vergangenheit vorgetäuschte „Menschenverifizierungs“-Bildschirme –, um Nutzer dazu zu verleiten, einen Befehl aus der Zwischenablage einzufügen. Nach gefälschten Windows Update-Bildschirmen , Video-Tutorials für Mac Nutzer und vielen anderen Varianten haben Angreifer nun eine Browsererweiterung eingeführt, die den Browser absichtlich zum Absturz bringt.
Forscher entdeckten eine Plagiatversion eines bekannten Werbeblockers und schafften es, diese in die offizielle Datenbank einzubringen. Chrome Webshop unter dem Namen „NexShield – Advanced Webschutz.“ Streng genommen bietet das Abstürzen des Browsers zwar einen gewissen Schutz, aber das ist nicht das, was Benutzer in der Regel suchen.
Wenn Benutzer die Browser-Erweiterung installieren, meldet sie sich bei nexsnield[.]com (Hinweis: Rechtschreibfehler) zur Nachverfolgung von Installationen, Aktualisierungen und Deinstallationen. Die Erweiterung verwendet Chrome Die integrierte Alarms-API (Programmierschnittstelle) wartet 60 Minuten, bevor sie ihr schädliches Verhalten ausführt. Diese Verzögerung verringert die Wahrscheinlichkeit, dass Benutzer sofort einen Zusammenhang zwischen der Installation und dem darauffolgenden Absturz herstellen.
Nach dieser Pause startet die Erweiterung eine Denial-of-Service-Schleife, die wiederholt chrome.runtime-Port-Verbindungen öffnet und die Ressourcen des Geräts erschöpft, bis der Browser nicht mehr reagiert und abstürzt.
Nach dem Neustart des Browsers wird den Benutzern ein Popup-Fenster angezeigt, in dem ihnen mitgeteilt wird, dass der Browser abnormal beendet wurde – was zwar zutrifft, aber nicht unerwartet ist – und in dem Anweisungen gegeben werden, wie dies in Zukunft verhindert werden kann.
Es zeigt dem Benutzer die mittlerweile klassischen Anweisungen zum Öffnen an. Win+R, drücken Ctrl+V, und drücken Sie die Eingabetaste, um das Problem zu „beheben“. Dies ist das typische Verhalten von ClickFix. Die Erweiterung hat bereits einen bösartigen PowerShell- oder cmd-Befehl in die Zwischenablage kopiert. Durch Befolgen der Anweisungen führt der Benutzer diesen bösartigen Befehl aus und infiziert damit effektiv seinen eigenen Computer.
Basierend auf Fingerabdruckprüfungen, um festzustellen, ob das Gerät in die Domäne eingebunden ist, gibt es derzeit zwei mögliche Ergebnisse.
Wenn der Computer mit einer Domäne verbunden ist, wird er als Unternehmensgerät behandelt und mit einem Python-Fernzugriffstrojaner (RAT) namens ModeloRAT infiziert. Auf Computern, die nicht mit einer Domäne verbunden sind, ist die Nutzlast derzeit unbekannt, da die Forscher nur die Antwort „TEST PAYLOAD!!!!“ erhielten. Dies könnte auf eine laufende Entwicklung oder andere Fingerabdrücke hindeuten, die den Testcomputer ungeeignet machten.
Wie man sicher bleibt
Die Erweiterung war nicht mehr verfügbar. Chrome Zum Zeitpunkt der Veröffentlichung dieses Artikels handelt es sich um einen Webshop, der aber zweifellos unter einem anderen Namen wieder auftauchen wird. Hier einige Sicherheitstipps:
- Wenn Sie nach einem Werbeblocker oder anderen nützlichen Browser-Erweiterungen suchen, achten Sie darauf, dass Sie das Original installieren. Cyberkriminelle geben sich gerne als vertrauenswürdige Software aus.
- Führen Sie niemals Code oder Befehle aus, die Sie von Websites, E-Mails oder Nachrichten kopiert haben, es sei denn, Sie vertrauen der Quelle und verstehen den Zweck der Aktion. Überprüfen Sie Anweisungen unabhängig. Wenn Sie auf einer Website aufgefordert werden, einen Befehl auszuführen oder eine technische Aktion durchzuführen, überprüfen Sie dies anhand der offiziellen Dokumentation oder wenden Sie sich an den Support, bevor Sie fortfahren.
- Sichern Sie Ihre Geräte. Verwenden Sie eine aktuelle Echtzeit -Anti-Malware-Lösung mit einer Webschutzkomponente.
- Informieren Sie sich über neue Angriffstechniken. Das Verständnis, dass Angriffe aus unerwarteten Richtungen kommen und sich weiterentwickeln können, hilft Ihnen, wachsam zu bleiben. Lesen Sie weiter unseren Blog!
Profi-Tipp: Die kostenlose Malwarebytes Browser Guard Erweiterung ist ein sehr effektiver Werbeblocker und schützt Sie vor schädlichen Websites. Sie warnt Sie außerdem, wenn eine Website etwas in Ihre Zwischenablage kopiert, und fügt einen kleinen Code-Schnipsel hinzu, der alle Befehle wirkungslos macht.
Von der Meldung von Bedrohungen bis zu deren Beseitigung.
Cybersicherheitsrisiken sollten niemals über die Schlagzeile hinausgehen. Schützen Sie Ihre Geräte vor Bedrohungen, indem Sie Malwarebytes noch heute herunterladen .
