گزارش جدید CTM360 نشان می‌دهد که تکنیک ClickFix به یکی از رایج‌ترین روش‌های نفوذ به شبکه‌های سازمانی تبدیل شده است. این روش برخلاف حملات سنتی، نیازی به استفاده از Exploit، پیوست‌های ایمیلی یا ذخیره فایل روی دیسک ندارد و به‌جای آن، بر روی مهندسی اجتماعی و سوءاستفاده از اعتماد کاربر تمرکز می‌کند.
مکانیسم حمله ClickFix
این حمله با نمایش صفحه‌ای آغاز می‌شود که کاربر را متقاعد می‌کند مشکلی در سیستم یا مرورگر او وجود دارد (مانند خطای تایید هویت Cloudflare یا کمبود فضای ذخیره‌سازی در Mac). سپس صفحه راهکاری ارائه می‌دهد که در واقع یک دستور مخرب است. این دستور به‌صورت خودکار در Clipboard کاربر کپی شده و از کاربر خواسته می‌شود تا یک رابط سیستمی مورد اعتماد (مانند PowerShell یا Terminal) را باز کرده، دستور را Paste کرده و Enter بزند.
از آنجایی که دستور توسط یک کاربر احراز هویت شده در یک Binary امضا شده و بومی سیستم اجرا می‌شود، ابزارهای امنیتی معمولاً آن را به عنوان فعالیت اداری مشروع شناسایی می‌کنند. طبق گزارش Microsoft، حدود 47% از موارد دسترسی اولیه (Initial Access) در سال 2025 توسط تیم Defender Experts به این تکنیک نسبت داده شده است.
یافته‌های کلیدی برای مدیران امنیت
- زیرساخت مقاوم در برابر تخریب: مهاجمان از تکنیکی به نام EtherHiding استفاده می‌کنند. اسکریپت‌های تزریق شده در وب‌سایت‌های آلوده، هیچ دامنه‌ای را شامل نمی‌شوند؛ بلکه از طریق یک Smart Contract در بلاک‌چین Polygon، نام میزبان (Hostname) فعلی را دریافت می‌کنند. این امر باعث می‌شود مسدود کردن دامنه‌ها (Domain Blocking) عملاً بی‌اثر باشد، زیرا مهاجم می‌تواند با یک تغییر ساده در بلاک‌چین، تمام سایت‌های آلوده را به مقصد جدید هدایت کند.
- هدف‌گیری دقیق سمت سرور: صفحه جعلی، سیستم‌عامل و نسخه آن را گزارش داده و بر اساس آن، محتوای متناسب با پلتفرم (Windows, macOS, Linux) را نمایش می‌دهد. همچنین سیستم‌های تشخیص خودکار (Sandbox) و Crawlerها با صفحاتی پاک و بدون محتوای مخرب مواجه می‌شوند تا شناسایی نشوند.
- استفاده از اثر انگشت سخت‌افزاری: در مرحله Dropper، اطلاعاتی نظیر GUID سخت‌افزار، نام کامپیوتر و مدل BIOS به‌صورت Base64 کدگذاری شده و به سرور C2 ارسال می‌شود. سرور تنها در صورتی Payload را ارسال می‌کند که ماشین قربانی با معیارهای مورد نظر مطابقت داشته باشد.
تحلیل فنی و بدافزار نهایی
تحلیل‌ها نشان می‌دهد که این زنجیره حمله در نهایت منجر به اجرای بدافزار Vidar Stealer می‌شود. این بدافزار از طریق تکنیک DLL Side-loading در یک پروسه امضا شده توسط Microsoft اجرا می‌گردد. همچنین مشخص شده است که وب‌سایت‌های WordPress به دلیل ترافیک واقعی و گواهینامه‌های معتبر، بستر ایده‌آلی برای توزیع این حملات هستند.
راهکارهای مقابله و پیشگیری
برای مقابله با این تهدید، دو کنترل فنی بسیار موثر هستند:
1. مسدود کردن دسترسی به Clipboard: در مرورگرهای مدیریت شده (Managed Browsers)، غیرفعال کردن قابلیت نوشتن در کلیپ‌بورد توسط وب‌سایت‌ها، این زنجیره حمله را در مرحله ابتدایی متوقف می‌کند.
2. استفاده از Proxy احراز هویت شده: اجبار مفسرهای اسکریپتی (Script Interpreters) و ابزارهای Fetch به عبور از یک Proxy، ارتباطات مخرب را در تمامی پلتفرم‌ها مختل می‌کند.
قانون طلایی برای کاربران: هیچ وب‌سایت یا سرویس معتبری هرگز از شما نمی‌خواهد که متنی را کپی کرده و در Run box، PowerShell، Terminal یا Address bar مرورگر Paste کنید. اگر صفحه‌ای چنین درخواستی داشت، آن صفحه یک حمله سایبری است.
