研究者らは、ClickFixの精神で用いられる別の手法を発見した：CrashFixである。
ClickFixキャンペーンは、巧妙な誘い文句（従来は「人間認証」画面など）を使って、ユーザーを騙してクリップボードからコマンドを貼り付けさせます。偽のWindowsアップデート画面、 Macユーザー向けのビデオチュートリアル、その他多くのバリエーションに続き、攻撃者は今度は、意図的にブラウザをクラッシュさせるブラウザ拡張機能を導入しました。
研究者たちは有名な広告ブロッカーの模倣品を発見し、それを公式のChrome 「NexShield –」という名前のウェブストアAdvanced ウェブ保護。厳密に言えば、ブラウザをクラッシュさせることはある程度の保護を提供するが、それはユーザーが通常求めているものではない。
ユーザーがブラウザ拡張機能をインストールすると、それはホームに連絡する nexsnield[.]com （スペルミスに注意）インストール、アップデート、アンインストールを追跡します。この拡張機能はChrome組み込みのアラームAPI（アプリケーションプログラミングインターフェース）を使用して、悪意のある動作を開始する前に60分間待機します。この遅延により、ユーザーがインストールとそれに続くクラッシュとの関連性をすぐに認識する可能性が低くなります。
その間を置いた後、拡張機能はサービス拒否ループを開始し、chrome.runtimeポート接続を繰り返し開くことでデバイスのリソースを枯渇させ、ブラウザが応答しなくなりクラッシュするまで継続する。
ブラウザを再起動すると、ユーザーには「ブラウザが異常終了しました」というポップアップが表示されます。これは事実ですが予期せぬことではありません。また、今後同じ現象を防ぐための手順が案内されます。
ユーザーに、今や定番となった開くための指示を表示します Win+R、押す Ctrl+V, Enterキーを押して問題を「修正」します。これが典型的なClickFixの動作です。この拡張機能は既に悪意のあるPowerShellまたはcmdコマンドをクリップボードに配置しています。指示に従うことで、ユーザーは悪意のあるコマンドを実行し、結果的に自身のコンピュータを感染させてしまいます。
デバイスがドメインに参加しているかどうかを確認するためのフィンガープリンティング検査に基づき、現在2つの結果が考えられます。
マシンがドメインに参加している場合、企業デバイスとして扱われ、ModeloRATと呼ばれるPython製リモートアクセストロイの木馬（RAT）に感染する。ドメイン未参加のマシンでは、研究者が「TEST PAYLOAD!!!!」という応答しか受け取っていないため、ペイロードは現時点で不明である。これは開発が進行中であるか、テストマシンを不適格にした他のフィンガープリンティングが存在する可能性を示唆している。
安全に過ごすには
拡張機能は利用できなくなりましたChrome この記事執筆時点ではウェブストアは閉鎖されていますが、間違いなく別の名前で再登場するでしょう。そこで、安全を確保するためのヒントをいくつかご紹介します。
- 広告ブロッカーやその他の便利なブラウザ拡張機能をお探しの場合は、本物であることを必ず確認してください。サイバー犯罪者は信頼できるソフトウェアを偽装するのが大好きです。
- 信頼できる情報源から入手したもので、かつその動作の目的を理解している場合を除き、ウェブサイト、メール、メッセージからコピーしたコードやコマンドを実行しないでください。指示は独自に検証してください。ウェブサイトでコマンドの実行や技術的な操作を指示された場合は、公式のドキュメントで確認するか、サポートに連絡してから進めてください。
- デバイスを保護してください。最新のリアルタイムマルウェア対策ソリューションとウェブ保護機能を使用してください。
- 進化する攻撃手法について学びましょう。攻撃が予期せぬ経路から発生し、進化し続ける可能性があることを理解することが警戒心を維持する助けとなります。引き続き当ブログをご覧ください！
プロのヒント：無料のMalwarebytes Browser Guard拡張機能は非常に効果的な広告ブロッカーであり、悪意のあるウェブサイトからあなたを守ります。また、ウェブサイトが何かをクリップボードにコピーしようとした際に警告を発し、コマンドを無効にする小さなコードスニペットを追加します。
脅威の報告から、それらを排除することまで。
サイバーセキュリティのリスクは、単なるニュースの見出しに留まるべきではありません。今すぐMalwarebytesダウンロードして、デバイスを脅威から守りましょう。
