Naukowcy odkryli kolejną metodę wykorzystywaną w duchu ClickFix: CrashFix.
Kampanie ClickFix wykorzystują przekonujące przynęty — historycznie ekrany „weryfikacji ludzkiej” — aby nakłonić użytkownika do wklejenia polecenia ze schowka. Po fałszywych ekranach Windows , samouczkach wideo dla Mac i wielu innych wariantach, atakujący wprowadzili teraz rozszerzenie przeglądarki, które celowo powoduje awarię przeglądarki.
Badacze odkryli podróbkę znanego programu blokującego reklamy i zdołali umieścić ją w oficjalnym sklepie Chrome Store pod nazwą „NexShield – Advanced Protection”. Ściśle rzecz biorąc, awaria przeglądarki zapewnia pewien poziom ochrony, ale nie jest to coś, czego zazwyczaj oczekują użytkownicy.
Jeśli użytkownicy zainstalują rozszerzenie przeglądarki, wysyła ono informacje do nexsnield[.]com (zwróć uwagę na błąd ortograficzny) w celu śledzenia instalacji, aktualizacji i odinstalowań. Rozszerzenie wykorzystuje wbudowany interfejs API alarmów (interfejs programowania aplikacji) Chrome, aby odczekać 60 minut przed rozpoczęciem szkodliwego działania. Opóźnienie to zmniejsza prawdopodobieństwo, że użytkownicy natychmiast połączą fakt instalacji z następującym po niej awarią.
Po tej przerwie rozszerzenie uruchamia pętlę typu denial-of-service, która wielokrotnie otwiera połączenia portu chrome.runtime, wyczerpując zasoby urządzenia, aż przeglądarka przestaje odpowiadać i ulega awarii.
Po ponownym uruchomieniu przeglądarki użytkownicy widzą wyskakujące okienko z informacją, że przeglądarka zatrzymała się w sposób nieprawidłowy — co jest prawdą, ale nie jest niczym zaskakującym — oraz instrukcjami, jak zapobiec takiej sytuacji w przyszłości.
Wyświetla użytkownikowi klasyczne już instrukcje dotyczące otwierania Win+R, naciśnij Ctrl+V, i naciśnij Enter, aby „naprawić” problem. Jest to typowe zachowanie ClickFix. Rozszerzenie umieściło już złośliwe polecenie PowerShell lub cmd w schowku. Postępując zgodnie z instrukcjami, użytkownik wykonuje to złośliwe polecenie i skutecznie infekuje swój komputer.
Na podstawie sprawdzenia odcisków palców w celu ustalenia, czy urządzenie jest podłączone do domeny, obecnie możliwe są dwa wyniki.
Jeśli komputer jest podłączony do domeny, jest traktowany jako urządzenie firmowe i infekowany trojanem zdalnego dostępu (RAT) napisanym w języku Python, nazwanym ModeloRAT. W przypadku komputerów niepodłączonych do domeny ładunek jest obecnie nieznany, ponieważ badacze otrzymali jedynie odpowiedź „TEST PAYLOAD!!!!”. Może to oznaczać, że trwają prace nad rozwojem lub inne działania związane z identyfikacją, które sprawiły, że komputer testowy nie nadawał się do tego celu.
Jak zachować bezpieczeństwo
W momencie pisania tego artykułu rozszerzenie nie było już dostępne w Chrome Store, ale z pewnością pojawi się ponownie pod inną nazwą. Oto kilka wskazówek, które pomogą Ci zachować bezpieczeństwo:
- Jeśli szukasz programu blokującego reklamy lub innych przydatnych rozszerzeń przeglądarki, upewnij się, że instalujesz oryginalną wersję. Cyberprzestępcy uwielbiają podszywać się pod zaufane oprogramowanie.
- Nigdy nie uruchamiaj kodu ani poleceń skopiowanych ze stron internetowych, wiadomości e-mail lub komunikatów, chyba że ufasz źródłu i rozumiesz cel działania. Zweryfikuj instrukcje niezależnie. Jeśli strona internetowa nakazuje wykonanie polecenia lub czynności technicznej, przed przystąpieniem do działania sprawdź oficjalną dokumentację lub skontaktuj się z pomocą techniczną.
- Zabezpiecz swoje urządzenia. Korzystaj z aktualnego rozwiązania antywirusowego działającego w czasie rzeczywistym, wyposażonego w komponent ochrony sieciowej.
- Zdobądź wiedzę na temat ewoluujących technik ataków. Świadomość, że ataki mogą pochodzić z nieoczekiwanych źródeł i ewoluować, pomaga zachować czujność. Czytaj dalej naszego bloga!
Wskazówka dla profesjonalistów: bezpłatny program Malwarebytes Browser Guard jest bardzo skutecznym blokerem reklam i chroni przed złośliwymi stronami internetowymi. Ostrzega również, gdy strona internetowa kopiuje coś do schowka i dodaje mały fragment kodu, aby uniemożliwić wykonanie jakichkolwiek poleceń.
Nie tylko informujemy o zagrożeniach - my je usuwamy
Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówek. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś.
