کمپین جدیدی تحت عنوان ClickFix با بهره‌برداری از اعتماد کاربران به بررسی‌های امنیتی وب، مسیری برای سرایت بدافزار ایجاد کرده است. در این روش، بازدیدکنندگان وب‌سایت‌های آلوده با یک پنل جعلی CAPTCHA یا پیام تعمیر (Repair) مواجه می‌شوند که از آن‌ها می‌خواهد با باز کردن پنجره Run در ویندوز، متنی را که کپی شده است Paste کرده و کلید Enter را فشار دهند.
مکانیسم پیچیده پنهان‌سازی در Browser Cache
نکته نگران‌کننده در این حمله، نحوه تحویل بدافزار است. برخلاف حملات رایج که فایل مخرب به صورت مستقیم دانلود می‌شود، در این مورد اسکریپت اصلی پیش از اجرای دستور کاربر، در Browser Cache (کش مرورگر) ذخیره شده است. طبق یافته‌های Microsoft Threat Intelligence، مهاجمان اسکریپت مورد نظر را در قالب یک فایل PNG تغییر شکل می‌دهند تا بتوانند دستورات کوتاه‌تری را در پنجره Run قرار دهند.
مراحل اجرای زنجیره حمله
- مرحله اول: کاربر به وب‌سایت تغییر یافته هدایت شده و با پیام جعلی برای تایید هویت یا تعمیر سیستم مواجه می‌شود.
- مرحله دوم: یک VBScript در پروفایل کش مرورگر (مثلاً در پوشه پروفایل Firefox) به صورت یک منبع شبیه PNG ذخیره شده است.
- مرحله سوم: دستوری که کاربر در Run اجرا می‌کند، پردازشگر دستورات ویندوز را برای جستجوی فایل‌های کش با اندازه مشخص فعال کرده و محتوای تطبیق‌یافته را در یک فایل VBScript موقت کپی و اجرا می‌کند.
- مرحله چهارم: این اسکریپت اطلاعات دستگاه را از طریق WMI جمع‌آوری کرده و یک اسکریپت PowerShell را فراخوانی می‌کند.
- مرحله پنجم: در نهایت، ابزارهای کامپایل .NET برای تزریق کد در حافظه و سرقت اطلاعات حساس (Credentials) ذخیره شده در مرورگر و دستگاه به کار گرفته می‌شوند.
تثبیت جایگاه (Persistence) و سرقت داده‌ها
این عامل تهدید برای حفظ دسترسی در سیستم، تنظیمات PowerShell کاربر را به حالت Bypass تغییر داده و با استفاده از ابزار tar.exe، اجزای Python را استخراج می‌کند. سپس یک Scheduled Task ایجاد می‌کند تا بدافزار Python از طریق یک مفسر بدون پنجره (windowless interpreter) اجرا شود و حتی پس از بستن مرورگر، دسترسی مهاجمان حفظ گردد.
توصیه‌های امنیتی برای تیم‌های SOC و مدیران
تیم‌های امنیتی باید فراتر از هشدارهای معمول دانلود فایل عمل کنند. نقاط کلیدی برای بررسی شامل موارد زیر است:
- رصد فعالیت‌های غیرعادی در کش مرورگر و کلید رجیستری RunMRU.
- بررسی پروسه‌های فرزند (Child Processes) مشکوک برای
WScriptیاPowerShell. - مانیتورینگ ایجاد Scheduled Taskهای جدید و اتصالات Outbound غیرعادی.
- فعال‌سازی PowerShell script-block logging و کنترل دسترسی به اپلیکیشن‌ها (Application Control).
قانون طلایی: هیچ بررسی CAPTCHA یا تاییدیه امنیتی وب، هرگز نیازمند دسترسی به خط فرمان (Command-line) یا اجرای دستور در سیستم کاربر نیست.
