În acest material discutăm despre un nou atac de tip ClickFix.
O nouă variantă a atacurilor de tip ClickFix a fost identificată de cercetători în securitate cibernetică, iar metoda utilizată arată o evoluție îngrijorătoare a tacticilor de social engineering. De această dată, atacatorii folosesc comanda nslookup și răspunsuri DNS pentru a livra și executa cod PowerShell malițios direct pe sistemele victimelor.
Tehnica este ingenioasă, deoarece transformă un protocol esențial al internetului — DNS — într-un canal de distribuție pentru malware, evitând metodele clasice de detecție.
Ce s-a descoperit în noua campanie
În cadrul acestei campanii, victimele sunt redirecționate către pagini care afișează mesaje false de eroare sau notificări care sugerează că există o problemă tehnică ce trebuie rezolvată urgent.
Utilizatorului i se cere să deschidă fereastra „Run” din Windows și să execute o comandă nslookup specifică. Comanda nu este aleasă întâmplător: aceasta interoghează un server DNS controlat de atacatori.
În mod normal, nslookup returnează informații despre domenii. În acest caz însă, câmpul de răspuns conține un script PowerShell malițios. Scriptul este apoi executat și descarcă componente suplimentare, inclusiv arhive care pot conține interpretoare Python și alte fișiere necesare pentru rularea malware-ului.
În final, sistemul compromis poate ajunge să fie controlat de la distanță prin instalarea unui troian de acces la distanță (RAT), oferind atacatorilor acces la fișiere, date sensibile și posibilitatea de a executa comenzi suplimentare.
Particularitatea acestui atac este utilizarea DNS ca metodă de livrare a codului malițios, ceea ce îl face mai greu de detectat prin filtre tradiționale bazate pe trafic web.
Ce sunt atacurile de tip ClickFix
Atacurile ClickFix fac parte din categoria tehnicilor de social engineering. Ele nu exploatează în mod direct vulnerabilități software, ci se bazează pe manipularea utilizatorului.
Victima este convinsă că există o problemă care trebuie „rezolvată” — de exemplu o eroare de sistem, o verificare de securitate sau o restricție temporară. Soluția propusă este simplă: „copiază această comandă și execut-o”.
În realitate, comanda respectivă declanșează descărcarea sau executarea de cod malițios.
Conceptul este periculos tocmai pentru că utilizatorul devine, fără să realizeze, cel care inițiază infectarea sistemului.
De ce sunt atât de populare aceste atacuri
Atacurile ClickFix au devenit extrem de populare nu doar datorită simplității lor, ci și pentru că reușesc să combine eficient psihologia umană cu mecanisme tehnice greu de filtrat automat. Ele reprezintă un exemplu clar de amenințare modernă în care factorul uman este transformat în punctul central al exploatării.
1. Exploatează reacția umană instinctivă
Majoritatea utilizatorilor reacționează rapid atunci când văd un mesaj care indică o problemă urgentă: „eroare critică”, „acces blocat”, „verificare de securitate necesară” sau „activitate suspectă detectată”.
Aceste formulări sunt concepute special pentru a genera anxietate și presiune psihologică. În acel moment, utilizatorul nu mai analizează atent contextul tehnic, ci caută o rezolvare rapidă. Dacă soluția propusă pare simplă – de exemplu copierea și executarea unei comenzi – aceasta este percepută ca o modalitate eficientă de a „repara” situația.
Atacatorii profită exact de această reacție instinctivă. Mesajele sunt construite astfel încât să pară legitime și urgente, reducând șansele ca victima să verifice autenticitatea solicitării.
2. Nu necesită exploituri complexe
În mod tradițional, multe atacuri informatice se bazau pe exploatarea unor vulnerabilități software – buguri, erori de configurare sau patch-uri lipsă. Acestea necesitau cunoștințe tehnice avansate și uneori erau rapid neutralizate prin actualizări de securitate.
În cazul atacurilor ClickFix, nu este nevoie de nicio vulnerabilitate tehnică. Sistemul poate fi complet actualizat și protejat, iar atacul tot poate reuși.
Motivul este simplu: utilizatorul execută voluntar comanda. Practic, victima devine mecanismul de livrare al malware-ului. Această abordare reduce complexitatea tehnică a atacului și crește rata de succes, pentru că nu depinde de un exploit care poate fi blocat printr-un patch.
3. Pot ocoli unele sisteme de securitate
Un alt factor important este capacitatea acestor atacuri de a trece de anumite filtre automate.
Atunci când un utilizator rulează manual o comandă precum nslookup sau un script PowerShell, activitatea poate părea legitimă la nivel superficial. Instrumentele utilizate sunt componente native ale sistemului de operare, folosite frecvent în administrare și diagnosticare.
În plus, folosirea DNS pentru transmiterea codului malițios reduce vizibilitatea atacului în mecanismele clasice de monitorizare, care sunt orientate în principal spre trafic web (HTTP/HTTPS). Traficul DNS este omniprezent într-o rețea și, în multe cazuri, este analizat mai superficial decât alte tipuri de comunicații.
Această combinație – utilizare de instrumente legitime și canale de comunicație obișnuite – face ca detectarea să fie mai dificilă, mai ales în medii unde monitorizarea nu este foarte strictă.
4. Flexibilitate ridicată
Atacurile ClickFix sunt extrem de adaptabile. Odată ce utilizatorul a executat comanda inițială, payload-ul poate fi schimbat în orice moment pe serverul atacatorilor.
Aceasta înseamnă că infrastructura de livrare poate rămâne aceeași, în timp ce malware-ul distribuit poate varia: de la stealer-e de parole, la troieni de acces la distanță sau alte tipuri de instrumente malițioase.
Această flexibilitate permite derularea simultană a mai multor campanii, testarea diferitelor variante și modificarea rapidă a codului pentru a evita detecția. Practic, metoda ClickFix funcționează ca un cadru generic de distribuție, peste care poate fi „atașat” orice tip de sarcină malițioasă.
Cum se pot preveni atacurile ClickFix
Prevenirea atacurilor ClickFix depinde în mare măsură de educație digitală, proceduri clare și controale tehnice adecvate. Deoarece aceste amenințări se bazează pe manipularea utilizatorului, simpla instalare a unei soluții de securitate nu este suficientă. Este necesară o combinație între conștientizare și politici tehnice bine definite.
Evitarea executării comenzilor din surse necunoscute
O regulă esențială este evitarea executării comenzilor primite prin pagini web, mesaje sau notificări neașteptate.
Nicio pagină legitimă nu ar trebui să solicite utilizatorului să deschidă manual fereastra „Run”, să acceseze PowerShell sau să ruleze comenzi complexe pentru a „repara” o presupusă problemă. Sistemele moderne distribuie actualizări și remedieri prin mecanisme automate, nu prin instrucțiuni care implică introducerea manuală a unor comenzi obscure.
În situația în care o pagină solicită astfel de acțiuni, aceasta trebuie considerată suspectă, iar interacțiunea trebuie întreruptă imediat.
Verificarea autenticității mesajelor de eroare
Atacurile ClickFix folosesc frecvent mesaje care imită avertismente oficiale ale sistemului de operare sau ale unor aplicații cunoscute. Formulările sunt concepute pentru a genera urgență și presiune psihologică.
Alertele legitime ale sistemului de operare nu solicită copierea și rularea unor comenzi complexe din interfața browserului. De asemenea, nu impun acțiuni imediate prin mesaje dramatice sau amenințătoare.
În cazul în care apare un mesaj suspect, acesta trebuie verificat prin surse oficiale sau prin consultarea unui specialist IT, fără a urma instrucțiunile afișate.
Restricționarea execuției scripturilor
În mediile organizaționale, pot fi implementate politici care limitează execuția necontrolată a scripturilor și comenzilor administrative.
Printre măsurile eficiente se numără:
- limitarea sau configurarea strictă a execuției PowerShell;
- blocarea scripturilor nesemnate digital;
- activarea modurilor restricționate de execuție;
- monitorizarea utilizării neobișnuite a comenzilor precum
nslookup.
Aceste măsuri reduc semnificativ riscul ca o comandă executată manual să ducă la compromiterea completă a sistemului.
Monitorizarea traficului DNS
Având în vedere că varianta recentă de atac utilizează DNS pentru livrarea codului malițios, monitorizarea interogărilor DNS devine esențială.
Organizațiile pot implementa:
- filtrare DNS pentru blocarea domeniilor suspecte;
- analiză comportamentală a interogărilor;
- detectarea comunicațiilor către servere DNS neautorizate.
Activități neobișnuite, cum ar fi interogări frecvente către domenii necunoscute sau structuri atipice de cereri DNS, pot indica tentative de compromitere.
Actualizarea constantă a soluțiilor de securitate
Soluțiile moderne de protecție endpoint și EDR pot detecta comportamente anormale chiar și atunci când acestea sunt declanșate de acțiuni legitime ale utilizatorului.
Astfel de soluții pot identifica:
- execuția neașteptată a scripturilor;
- descărcarea și lansarea de fișiere suplimentare;
- crearea de mecanisme de persistență;
- conexiuni suspecte către infrastructuri externe.
Menținerea acestor soluții actualizate și configurate corespunzător contribuie la identificarea timpurie și limitarea impactului unui eventual atac.
Concluzie
Noua variantă ClickFix care folosește nslookup și răspunsuri DNS pentru a livra scripturi PowerShell demonstrează cât de rapid evoluează atacurile de social engineering.
Prin combinarea manipulării psihologice cu utilizarea creativă a unor instrumente legitime ale sistemului de operare, atacatorii reușesc să ocolească metodele clasice de protecție.
Dacă aveți nevoie de ajutor pentru securizarea și gestionarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de prestari servicii IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să propună soluții tehnice personalizate după nevoile clienților, punând activ umărul la dezvoltarea IT a companiilor client.
