تکنیک ClickFix از زمان ظهور در سال ۲۰۲۴، به سرعت به یکی از روش‌های اصلی مورد استفاده مجرمان سایبری تبدیل شده است. این تکنیک از نظر حجم و تنوع در حال رشد است و خانواده‌ای از زیرمجموعه‌ها مانند FileFix، InstallFix، TerminalFix و ConsentFix را شامل می‌شود.
جدیدترین روند در این حملات، هدف قرار دادن کاربرانی است که به دنبال ابزارهای هوش مصنوعی (AI) می‌گردند. این نوع حملات با ترافیک قانونی ابزارهای Generative AI ترکیب شده و بسیاری از کاربران را غافلگیر می‌کند.
تکنیک InstallFix: صفحات نصب جعلی با دستورات مخرب
در این روش، مهاجمان صفحات نصب ابزارهایی مانند Claude Code یا Codex را جعل می‌کنند. این صفحات از طریق تبلیغات در موتورهای جستجو (Search Engines) یا سئوهای مخرب (SEO Poisoning) به کاربران نمایش داده می‌شوند. ویژگی خطرناک این صفحات در نحوه تعامل با کاربر نهفته است:
- صفحه نصب، دستورات واقعی و معتبر را به کاربر نشان می‌دهد تا اعتماد او را جلب کند.
- با این حال، دکمه کپی (Copy) در صفحه، یک دستور مخرب را در کلیپ‌بورد (Clipboard) کاربر قرار می‌دهد.
- کاربر با کپی و اجرای دستور در ترمینال (Terminal)، بدون اینکه متوجه شود، اسکریپت مخرب را مستقیماً در حافظه (Memory) اجرا می‌کند که باعث می‌شود هیچ فایلی روی دیسک ذخیره نشود و شناسایی توسط آنتی‌ویروس‌ها دشوار شود.
تکنیک LLMshare: سوءاستفاده از پلتفرم‌های هوش مصنوعی
تکنیک LLMshare از قابلیت‌های اشتراک‌گذاری در چت‌بات‌هایی مانند ChatGPT و Claude سوءاستفاده می‌کند. مهاجمان چت‌ها یا Artifactهای مخربی ایجاد می‌کنند که حاوی دستورالعمل‌های نصب جعلی یا لینک‌های دانلود هستند. از آنجایی که این لینک‌ها در دامنه‌های معتبری مانند chatgpt.com یا claude.ai میزبانی می‌شوند، ابزارهای بررسی اعتبار URL (URL Reputation) آن‌ها را امن تشخیص می‌دهند.
نسخه‌های پیشرفته‌تر این حمله از Custom GPTs استفاده می‌کنند. در این حالت، کاربر با یک بات هوش مصنوعی تعامل می‌کند و در میانه گفتگو، با یک اعلان جعلی (مانند اعلام قطعی سرویس) مواجه می‌شود که کاربر را به دانلود بدافزار هدایت می‌کند.
چرا ClickFix چالش بزرگی برای تیم‌های امنیتی است؟
این حملات به چندین دلیل سیستم‌های دفاعی سنتی را دور می‌زنند:
- دور زدن امنیت ایمیل: بسیاری از این حملات از طریق موتورهای جستجو و شبکه‌های اجتماعی انجام می‌شوند، نه ایمیل.
- اعتبار دامنه: استفاده از سرویس‌های معتبر مانند Google Sites یا خود پلتفرم‌های هوش مصنوعی، باعث می‌شود سیستم‌های فیلترینگ URL را دور بزنند.
- اجرای بدون فایل (Fileless): اجرای دستورات مستقیماً در ترمینال و در حافظه، باعث می‌شود ابزارهای Endpoint Security و EDR که به دنبال فایل‌های مشکوک هستند، نتوانند حمله را شناسایی کنند.
- استفاده از بلاک‌چین: برخی کیت‌های حمله از قراردادهای هوشمند (Smart Contracts) برای ذخیره پیکربندی خود استفاده می‌کنند تا امکان از کار انداختن سرورهای آن‌ها وجود نداشته باشد.
