گروه Insikt از Recorded Future اخیراً تکنیکی به نام ClickFix را شناسایی کرده است که در آن عاملان تهدید (Threat Actors) از مهندسی اجتماعی پیشرفته برای فریب کاربران استفاده می‌کنند. در این روش، مهاجمان به جای استفاده از بدافزارهای خودکار یا اکسپلویت‌های پیچیده، از لوگوهای آشنا و اعلان‌های تایید هویت (Verification Prompts) برای ترغیب کاربر به اجرای دستورات مخرب استفاده می‌کنند.
مکانیزم عملکرد ClickFix
تکنیک ClickFix با تقلید از زبان بصری مورد اعتماد کاربران، مانند صفحات CAPTCHA یا پیام‌های «تایید انسانیت» (Verify you’re human) عمل می‌کند. هدف این است که کاربر را متقاعد کند تا دستوری را به صورت دستی در سیستم خود اجرا کند. در این سناریو، هیچ کدی از دیوار آتش (Firewall) عبور نمی‌کند، بلکه خود کاربر به عنوان مکانیسم تحویل (Delivery Mechanism) عمل کرده و مسیر نفوذ را برای مهاجم هموار می‌کند.
یکی از ویژگی‌های کلیدی این حمله، تطبیق‌پذیری آن با سیستم‌عامل هدف است. دستوراتی که به کاربر نمایش داده می‌شود، بسته به اینکه قربانی از Windows یا macOS استفاده می‌کند، تغییر می‌کند. این رویکرد باعث می‌شود ابزارهای امنیتی سنتی که بر اساس شناسه‌های ثابت (Signatures) یا شناسایی رفتارهای بدافزاری عمل می‌کنند، نتوانند این حملات را شناسایی کنند، زیرا در ظاهر، کاربر در حال انجام یک عملیات روتین است.
چالش‌های شناسایی و مقابله
به دلیل ماهیت پویا و استفاده از زیرساخت‌های یک‌بار مصرف (Disposable Infrastructure)، شناسایی این حملات دشوار است. برای مقابله با این تهدیدات، رویکردهای لایه‌ای زیر پیشنهاد می‌شود:
- تحلیل شباهت محتوا (Content Similarity Analysis): شناسایی الگوهای مشترک در قالب صفحات (Templates) که در دامنه‌های مختلف تکرار می‌شوند.
- تحلیل بصری و OCR: استفاده از تشخیص نویسه‌های نوری (OCR) و تحلیل اسکرین‌شات‌ها برای شناسایی لوگوهای جعلی برندها.
- یادگیری ماشین (Machine Learning): پیش‌بینی ریسک بر اساس ویژگی‌های صفحه، حتی در مواردی که تطابق مستقیم با امضاهای شناخته شده وجود ندارد.
از شناسایی تا حذف (Takedown)
در محیط‌های عملیاتی SOC، سرعت واکنش حیاتی است. استفاده از عوامل تریاژ مبتنی بر هوش مصنوعی (AI Triage Agents) می‌تواند حجم بالای هشدارها را فیلتر کرده و تنها موارد تایید شده و دارای زمینه (Context) را به تحلیلگران ارشد منتقل کند. همچنین، یکپارچه‌سازی فرآیند شناسایی با مکانیزم‌های حذف سریع دامنه‌های مخرب (Takedown)، زمان حضور مهاجم در وب را به شدت کاهش می‌دهد.
