Naukowcy odkryli kolejną metodę wykorzystywaną w duchu ClickFix: CrashFix.
Kampanie ClickFix wykorzystują przekonujące przynęty – tradycyjnie ekrany „weryfikacji ludzkiej” – aby nakłonić użytkownika do wklejenia polecenia ze schowka. Po fałszywych ekranach aktualizacji Windows , samouczkach wideo dla użytkowników Mac i wielu innych wariantach, atakujący wprowadzili teraz rozszerzenie przeglądarki, które celowo powoduje jej awarię.
Badaczom udało się znaleźć podróbkę znanego programu blokującego reklamy i wprowadzić ją do oficjalnej wersji Chrome Sklep internetowy pod nazwą „NexShield – Advanced Ochrona sieci”. Ściśle rzecz biorąc, zawieszenie przeglądarki zapewnia pewien poziom ochrony, ale nie jest to coś, czego zazwyczaj szukają użytkownicy.
Jeśli użytkownicy zainstalują rozszerzenie przeglądarki, wysyła ono informacje do nexsnield[.]com (zwróć uwagę na błąd ortograficzny) do śledzenia instalacji, aktualizacji i deinstalacji. Rozszerzenie używa Chrome Wbudowany interfejs API Alarmów (API) odczekuje 60 minut przed rozpoczęciem złośliwego działania. To opóźnienie zmniejsza prawdopodobieństwo, że użytkownicy natychmiast połączą fakty między instalacją a następującą po niej awarią.
Po tej przerwie rozszerzenie uruchamia pętlę typu denial-of-service, która wielokrotnie otwiera połączenia portu chrome.runtime, wyczerpując zasoby urządzenia, aż przeglądarka przestaje odpowiadać i ulega awarii.
Po ponownym uruchomieniu przeglądarki użytkownicy widzą wyskakujące okienko z informacją, że przeglądarka zatrzymała się w sposób nieprawidłowy — co jest prawdą, ale nie jest niczym zaskakującym — oraz instrukcjami, jak zapobiec takiej sytuacji w przyszłości.
Wyświetla użytkownikowi klasyczne już instrukcje dotyczące otwierania Win+R, naciśnij Ctrl+V, i naciśnij Enter, aby „naprawić” problem. Jest to typowe zachowanie ClickFix. Rozszerzenie umieściło już złośliwe polecenie PowerShell lub cmd w schowku. Postępując zgodnie z instrukcjami, użytkownik wykonuje to złośliwe polecenie i skutecznie infekuje swój komputer.
Na podstawie sprawdzenia odcisków palców w celu ustalenia, czy urządzenie jest podłączone do domeny, obecnie możliwe są dwa wyniki.
Jeśli komputer jest podłączony do domeny, jest traktowany jako urządzenie firmowe i infekowany trojanem zdalnego dostępu (RAT) napisanym w języku Python, nazwanym ModeloRAT. W przypadku komputerów niepodłączonych do domeny ładunek jest obecnie nieznany, ponieważ badacze otrzymali jedynie odpowiedź „TEST PAYLOAD!!!!”. Może to oznaczać, że trwają prace nad rozwojem lub inne działania związane z identyfikacją, które sprawiły, że komputer testowy nie nadawał się do tego celu.
Jak zachować bezpieczeństwo
Rozszerzenie nie było już dostępne w Chrome W chwili pisania tego tekstu sklep internetowy działał pod inną nazwą, ale z pewnością pojawi się ponownie pod inną nazwą. Oto kilka wskazówek, jak zachować bezpieczeństwo:
- Jeśli szukasz programu blokującego reklamy lub innych przydatnych rozszerzeń przeglądarki, upewnij się, że instalujesz oryginalną wersję. Cyberprzestępcy uwielbiają podszywać się pod zaufane oprogramowanie.
- Nigdy nie uruchamiaj kodu ani poleceń skopiowanych ze stron internetowych, wiadomości e-mail lub komunikatów, chyba że ufasz źródłu i rozumiesz cel działania. Zweryfikuj instrukcje niezależnie. Jeśli strona internetowa nakazuje wykonanie polecenia lub czynności technicznej, przed przystąpieniem do działania sprawdź oficjalną dokumentację lub skontaktuj się z pomocą techniczną.
- Zabezpiecz swoje urządzenia. Korzystaj z aktualnego rozwiązania antywirusowego działającego w czasie rzeczywistym, wyposażonego w komponent ochrony sieciowej.
- Zdobądź wiedzę na temat ewoluujących technik ataków. Świadomość, że ataki mogą pochodzić z nieoczekiwanych źródeł i ewoluować, pomaga zachować czujność. Czytaj dalej naszego bloga!
Wskazówka: darmowe rozszerzenie Malwarebytes Browser Guard to bardzo skuteczny bloker reklam, który chroni przed złośliwymi witrynami. Ostrzega również, gdy witryna kopiuje coś do schowka i dodaje krótki fragment kodu, dzięki czemu wszelkie polecenia stają się bezużyteczne.
Od zgłaszania zagrożeń po ich usuwanie.
Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówki. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś .
