În acest material discutăm despre o nouă formă de atac ClickFix, care, de această dată, țintește utilizatorii de macOS.
Atacurile ClickFix devin tot mai sofisticate
Infractorii cibernetici continuă să își perfecționeze metodele prin care distribuie malware, iar cele mai recente campanii demonstrează că tehnicile clasice de inginerie socială sunt completate de mecanisme avansate de evitare a detectării. Dacă până de curând majoritatea atacurilor se bazau pe pagini false accesibile oricui, noile operațiuni filtrează atent vizitatorii înainte de a afișa conținutul malițios.
Această schimbare face ca activitatea infractorilor să fie mult mai greu de analizat atât de către cercetătorii în securitate, cât și de soluțiile automate care încearcă să identifice paginile periculoase. În loc să expună malware-ul tuturor vizitatorilor, atacatorii aleg cu atenție doar victimele care corespund profilului dorit.
Microsoft Threat Intelligence a documentat recent o astfel de campanie complexă, în care sute de domenii sunt utilizate pentru distribuirea malware-ului destinat utilizatorilor macOS. Potrivit cercetării publicate de The Hacker News, infrastructura atacului include peste 250 de domenii și folosește tehnici de browser fingerprinting pentru a ascunde încărcătura malițioasă.
Peste 250 de domenii ascund campania ClickFix
Potrivit Microsoft Threat Intelligence, atacatorii operează o infrastructură formată din peste 250 de domenii front-end care imită servicii legitime și sunt folosite pentru distribuirea malware-ului pe sistemele Apple. În loc să afișeze imediat conținutul malițios, serverele colectează informații despre vizitator înainte de a decide ce pagină va fi afișată.
Procesul include analiza sistemului de operare, a browserului și a altor caracteristici tehnice ale dispozitivului. Dacă utilizatorul pare să fie o potențială victimă care folosește macOS, acesta este direcționat către o pagină falsă ce imită GitHub și care promovează descărcarea unei aplicații aparent legitime pentru macOS. În realitate, fișierul livrat instalează malware-ul Atomic Stealer (AMOS), un infostealer bine cunoscut pentru furtul de parole, portofele de criptomonede și alte informații sensibile.
În schimb, dacă vizitatorul este un cercetător în securitate, un crawler automat sau un sistem de analiză, infrastructura afișează conținut benign sau blochează complet accesul. Această abordare reduce semnificativ șansele ca atacul să fie detectat și analizat.
Specialiștii Microsoft au observat că aceeași infrastructură a fost folosită și pentru distribuirea malware-ului MacSync, ceea ce indică faptul că operatorii pot schimba rapid încărcătura malițioasă fără a modifica întreaga infrastructură de domenii.
Ce este ClickFix
ClickFix este o tehnică de inginerie socială care încearcă să convingă utilizatorul să execute singur comenzile necesare infectării sistemului. În loc să exploateze o vulnerabilitate software, atacatorii exploatează încrederea și reflexele utilizatorilor.
De regulă, victima ajunge pe un site compromis sau pe o pagină creată special pentru atac. Acolo este întâmpinată de un mesaj care pretinde că există o problemă tehnică: un test CAPTCHA care a eșuat, o eroare de browser, o verificare de securitate sau imposibilitatea încărcării conținutului.
Pentru „rezolvarea” problemei, utilizatorului i se cere să copieze și să execute o comandă în Terminal, Command Prompt sau în fereastra Run. În realitate, acea comandă descarcă și execută malware, oferind atacatorilor acces la sistem sau instalând programe specializate în furtul datelor.
Cum funcționează noua variantă a atacului
Noua campanie adaugă un nivel suplimentar de sofisticare prin utilizarea browser fingerprinting-ului. Înainte ca pagina malițioasă să fie afișată, serverul colectează informații precum:
- sistemul de operare;
- browserul utilizat;
- limba și configurația dispozitivului;
- alte caracteristici tehnice ale sesiunii.
Pe baza acestor informații, infrastructura decide dacă utilizatorul reprezintă o țintă interesantă. Dacă răspunsul este pozitiv, este afișată pagina de infectare. În caz contrar, vizitatorul vede un site aparent normal sau nu primește niciun conținut relevant.
Această metodă îngreunează considerabil activitatea cercetătorilor și permite campaniei să rămână activă pentru perioade mai lungi, deoarece multe sisteme automate de scanare nu primesc niciodată pagina care distribuie malware-ul.
Cum se pot proteja utilizatorii
Specialiștii recomandă evitarea executării comenzilor afișate de site-uri web, indiferent cât de legitim pare mesajul. Nicio pagină autentică nu solicită copierea și rularea unor comenzi în Terminal sau Command Prompt pentru a permite accesul la conținut.
De asemenea, aplicațiile trebuie descărcate exclusiv din surse oficiale, iar utilizatorii ar trebui să fie atenți la paginile care imită platforme cunoscute precum GitHub, Google sau Cloudflare. Soluțiile moderne de securitate și actualizarea constantă a sistemului de operare pot reduce semnificativ riscul compromiterii dispozitivului.
Concluzie
Campania analizată de Microsoft evidențiază evoluția rapidă a tehnicilor ClickFix. Dacă inițial aceste atacuri se bazau aproape exclusiv pe mesaje înșelătoare, noile variante utilizează browser fingerprinting și infrastructuri extinse, formate din sute de domenii, pentru a selecta cu atenție victimele și pentru a evita detectarea.
Pe măsură ce atacatorii combină ingineria socială cu mecanisme tehnice din ce în ce mai sofisticate, vigilența utilizatorilor rămâne una dintre cele mai eficiente metode de apărare. Refuzul de a executa comenzi sugerate de pagini necunoscute și verificarea atentă a sursei oricărei aplicații descărcate pot face diferența între o simplă tentativă de atac și compromiterea completă a sistemului.
Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, ajutând companiile client să devină conforme NIS2 (și să rămână conforme pe termen lung).
