گزارش‌های جدید نشان می‌دهد که دامنه third-party[.]com که معمولاً در مستندات فنی و کدها به عنوان یک دامنه جایگزین یا Placeholder برای اشاره به سرویس‌های شخص ثالث استفاده می‌شود، اکنون برای توزیع بدافزار به کار گرفته شده است.
مکانیسم حمله و متدولوژی ClickFix
طبق یافته‌های شرکت Manifold Security، این سایت از تکنیک ClickFix برای هدف قرار دادن سیستم‌های Windows استفاده می‌کند. این حمله با تقلید از صفحه بررسی انسانی (Human Verification) شرکت Cloudflare آغاز می‌شود. در این مرحله، بدافزار با مسموم کردن Clipboard (حافظه موقت)، کاربر را ترغیب می‌کند تا کلیدهای Win+R را فشار داده و محتوای کپی شده را Paste کند.
دستور Paste شده در واقع یک کد مخرب است که یک Payload از راه دور را از طریق PowerShell فراخوانی و اجرا می‌کند. این روش به دلیل بهره‌برداری از تعامل کاربر و اجرای دستورات مستقیم در سیستم، می‌تواند بسیاری از لایه‌های حفاظتی را دور بزند.
چرا این دامنه خطرناک است؟
برخلاف دامنه‌هایی مانند example.com یا example.org که توسط IANA رزرو شده‌اند و هیچ‌کس نمی‌تواند آن‌ها را ثبت کند، دامنه third-party[.]com رزرو شده نبود و توسط عوامل تهدید ثبت گردید. از آنجایی که توسعه‌دهندگان وب به طور گسترده از این عبارت در مستندات خود استفاده می‌کنند، احتمال اینکه کاربران یا کارکنان سازمان‌ها به طور تصادفی وارد این سایت شوند، بسیار زیاد است.
روند صعودی حملات ClickFix
حملات ClickFix موضوع جدیدی نیستند، اما با شدت در حال افزایش‌اند. بر اساس گزارش‌های ESET، شناسایی این نوع حملات در نیمه اول سال ۲۰۲۶ رشد ۱۰۸ درصدی داشته است که نشان‌دهنده تغییر استراتژی عوامل تهدید برای دور زدن سیستم‌های تشخیص خودکار است.
در حال حاضر این دامنه به ثبت‌کننده (Registrar) گزارش شده است، اما توصیه می‌شود تمامی تیم‌های SOC و مهندسین امنیت، هرگونه دسترسی به این دامنه را در شبکه خود بررسی و مسدود کنند.
