Onderzoekers hebben een andere methode gevonden die in de geest van ClickFix wordt gebruikt: CrashFix.
ClickFix-campagnes gebruiken overtuigende lokmiddelen – historisch gezien 'Menselijke verificatie'-schermen – om de gebruiker ertoe te verleiden een commando vanuit het klembord te plakken. Na nep- Windows updateschermen , videotutorials voor Mac gebruikers en vele andere varianten, hebben aanvallers nu een browser geïntroduceerd. extensie Dat zorgt ervoor dat je browser opzettelijk vastloopt.
Onderzoekers ontdekten een namaakversie van een bekende advertentieblokker en wisten deze in de officiële database te krijgen. Chrome Webwinkel onder de naam “NexShield – Advanced "Webbeveiliging." Strikt genomen biedt het laten crashen van de browser wel enige bescherming, maar dat is niet waar gebruikers doorgaans naar op zoek zijn.
Als gebruikers de browser installeren extensie Het belt naar huis om nexsnield[.]com (let op de spelfout) om installaties, updates en verwijderingen bij te houden. De extensie gebruikt Chrome De ingebouwde Alarms API (application programming interface) van het programma wacht 60 minuten voordat het zijn schadelijke gedrag vertoont. Deze vertraging verkleint de kans dat gebruikers direct het verband leggen tussen de installatie en de daaropvolgende crash.
Na die pauze, de extensie Dit start een denial-of-service-loop die herhaaldelijk chrome.runtime-poortverbindingen opent, waardoor de resources van het apparaat uitgeput raken totdat de browser niet meer reageert en crasht.
Na het herstarten van de browser krijgen gebruikers een pop-up te zien waarin staat dat de browser abnormaal is gestopt – wat waar is, maar niet onverwacht – en waarin instructies worden gegeven om dit in de toekomst te voorkomen.
Het toont de gebruiker de inmiddels klassieke instructies om te openen Win+R, druk op Ctrl+V, en druk op Enter om het probleem op te lossen. Dit is typisch ClickFix-gedrag. extensie heeft al een kwaadaardig PowerShell- of cmd-commando op het klembord geplaatst. Door de instructies te volgen, voert de gebruiker dat kwaadaardige commando uit en infecteert daarmee zijn eigen computer.
Op basis van vingerafdrukcontroles om te zien of het apparaat is aangesloten op het domein, zijn er momenteel twee mogelijke uitkomsten.
Als de machine is aangesloten op een domein, wordt deze behandeld als een bedrijfsapparaat en geïnfecteerd met een Python-trojan voor externe toegang (RAT), genaamd ModeloRAT. Op machines die niet zijn aangesloten op een domein, is de payload momenteel onbekend, aangezien de onderzoekers alleen een "TEST PAYLOAD!!!!"-reactie ontvingen. Dit zou kunnen duiden op voortdurende ontwikkeling of andere fingerprinting, waardoor de testmachine ongeschikt was.
Hoe blijf ik veilig
De extensie was niet langer beschikbaar in de Chrome De webwinkel bestaat op het moment van schrijven nog, maar zal ongetwijfeld onder een andere naam terugkeren. Hier zijn dus een paar tips om veilig te blijven:
- Als u op zoek bent naar een advertentieblokkering of andere handige browserextensies, zorg er dan voor dat u de echte versie installeert. Cybercriminelen doen zich graag voor als betrouwbare software.
- Voer nooit code of opdrachten uit die u van websites, e-mails of berichten hebt gekopieerd, tenzij u de bron vertrouwt en het doel van de actie begrijpt. Controleer instructies onafhankelijk. Als een website u vraagt om een opdracht uit te voeren of een technische actie te ondernemen, raadpleeg dan eerst de officiële documentatie of neem contact op met de ondersteuning voordat u verdergaat.
- Beveilig uw apparaten. Gebruik een up-to-date realtime antimalware-oplossing met een webbeveiligingscomponent.
- Leer meer over de steeds veranderende aanvalsmethoden. Als je begrijpt dat aanvallen uit onverwachte hoeken kunnen komen en steeds veranderen, blijf je alert. Blijf onze blog lezen!
Pro-tip: de gratis Malwarebytes Browser Guard extensie Het is een zeer effectieve advertentieblokker die je beschermt tegen schadelijke websites. Het waarschuwt je ook wanneer een website iets naar je klembord kopieert en voegt een klein codefragment toe om eventuele opdrachten onbruikbaar te maken.
Van het melden van bedreigingen tot het verwijderen ervan.
Cyberbeveiligingsrisico's mogen nooit verder reiken dan een krantenkop. Bescherm uw apparaten tegen bedreigingen door Malwarebytes vandaag nog te downloaden .
