I ricercatori hanno scoperto un altro metodo utilizzato nello spirito di ClickFix: CrashFix.
Le campagne ClickFix utilizzano esche convincenti, storicamente schermate di "Verifica umana", per indurre l'utente a incollare un comando dagli appunti. Dopo le false schermate di aggiornamento Windows , i tutorial video per utenti Mac e molte altre varianti, gli aggressori hanno ora introdotto un'estensione per browser che manda in crash il browser di proposito.
I ricercatori hanno trovato una copia di un noto ad blocker e sono riusciti a inserirlo nell'app ufficiale Chrome Negozio online con il nome “NexShield – Advanced "Protezione Web". A rigor di termini, mandare in crash il browser offre un certo livello di protezione, ma non è ciò che gli utenti in genere cercano.
Se gli utenti installano l'estensione del browser, questa si collega a nexsnield[.]com (nota l'errore di ortografia) per tenere traccia di installazioni, aggiornamenti e disinstallazioni. L'estensione utilizza Chrome L'API (interfaccia di programmazione delle applicazioni) di Alarms integrata attende 60 minuti prima di avviare il suo comportamento dannoso. Questo ritardo rende meno probabile che gli utenti colleghino immediatamente l'installazione al successivo arresto anomalo.
Dopo questa pausa, l'estensione avvia un ciclo di denial-of-service che apre ripetutamente connessioni alla porta chrome.runtime, esaurendo le risorse del dispositivo fino a quando il browser non risponde più e si blocca.
Dopo aver riavviato il browser, gli utenti vedono un pop-up che li informa che il browser si è arrestato in modo anomalo, il che è vero ma non inaspettato, e che fornisce istruzioni su come evitare che ciò si ripeta in futuro.
Presenta all'utente le ormai classiche istruzioni per aprire Win+R, premere Ctrl+V, e premere Invio per "risolvere" il problema. Questo è il tipico comportamento di ClickFix. L'estensione ha già inserito un comando PowerShell o cmd dannoso negli appunti. Seguendo le istruzioni, l'utente esegue quel comando dannoso e infetta effettivamente il proprio computer.
Sulla base dei controlli delle impronte digitali per verificare se il dispositivo è collegato al dominio, attualmente sono possibili due risultati.
Se il computer è collegato a un dominio, viene trattato come un dispositivo aziendale e infettato con un trojan di accesso remoto (RAT) Python denominato ModeloRAT. Sui computer non collegati al dominio, il payload è attualmente sconosciuto poiché i ricercatori hanno ricevuto solo una risposta "TEST PAYLOAD!!!!". Ciò potrebbe implicare uno sviluppo in corso o altre impronte digitali che hanno reso il computer di prova inadatto.
Come stare al sicuro
L'estensione non era più disponibile nel Chrome Al momento della stesura di questo articolo, il sito si chiama Web Store, ma senza dubbio ricomparirà con un altro nome. Ecco quindi alcuni consigli per rimanere al sicuro:
- Se stai cercando un ad blocker o altre estensioni utili per il browser, assicurati di installare quelle autentiche. I criminali informatici amano spacciarsi per software affidabili.
- Non eseguire mai codici o comandi copiati da siti web, e-mail o messaggi a meno che non ti fidi della fonte e comprenda lo scopo dell'azione. Verifica le istruzioni in modo indipendente. Se un sito web ti chiede di eseguire un comando o un'azione tecnica, controlla la documentazione ufficiale o contatta l'assistenza prima di procedere.
- Proteggi i tuoi dispositivi. Utilizza una soluzione anti-malware aggiornata in tempo reale con un componente di protezione web.
- Informati sulle tecniche di attacco in continua evoluzione. Comprendere che gli attacchi possono provenire da vettori inaspettati ed evolversi aiuta a mantenere alta la vigilanza. Continua a leggere il nostro blog!
Un consiglio: l'estensione gratuita Malwarebytes Browser Guard è un blocco annunci molto efficace e ti protegge dai siti web dannosi. Ti avvisa anche quando un sito web copia qualcosa negli appunti e aggiunge un piccolo frammento di codice per rendere inutilizzabili i comandi.
Dalla segnalazione delle minacce alla loro rimozione.
I rischi per la sicurezza informatica non dovrebbero mai andare oltre un titolo di giornale. Proteggi i tuoi dispositivi dalle minacce scaricando Malwarebytes oggi stesso .
