دامین‌هایی که به طور گسترده در مستندات نرم‌افزاری، نمونه‌های کد و متریال‌های تست توسعه‌دهندگان استفاده می‌شوند، اکنون به ابزاری برای پیشبرد حملات ClickFix علیه کاربران سیستم‌عامل ویندوز تبدیل شده‌اند.
تغییر کاربرد دامین‌های نمونه
در دنیای توسعه نرم‌افزار، دامین‌های Placeholder برای نمایش یک وب‌سایت فرضی در مثال‌ها به کار می‌روند. در حالی که دامین example.com برای مستندات رزرو شده و تغییرناپذیر است، دامین‌هایی مانند third-party[.]com دامین‌های معمولی هستند و هر کسی می‌تواند آن‌ها را ثبت کند. اکنون مهاجمانی این دامین را تصاحب کرده‌اند تا از هر مستند یا کدی که این آدرس را به صورت Hardcoded داشته باشد، برای هدایت کاربران به زیرساخت‌های مخرب خود استفاده کنند.
مکانیزم حمله ClickFix
پژوهشگران Manifold Security دریافتند که دامین مذکور، یک صفحه جعلی تایید هویت (Verification) مشابه Cloudflare را به بازدیدکنندگان ویندوزی نمایش می‌دهد. این صفحه کاربران را متقاعد می‌کند تا پنجره Windows Run را باز کرده و دستوری را که به طور خودکار در Clipboard آن‌ها کپی شده است، Paste و اجرا کنند.
این دستور در واقع یک اسکریپت PowerShell را دانلود و اجرا می‌کند. تکنیک ClickFix یک روش مهندسی اجتماعی (Social Engineering) است که در آن قربانی را به نصب‌کننده بدافزار تبدیل می‌کند. به جای تکیه بر پیوست‌های مخرب یا دانلود فایل‌های اجرایی مشکوک، مهاجم کاربر را متقاعد می‌کند تا شخصاً دستورات را اجرا کند.
روش‌های رایج فریب در حملات ClickFix
- نمایش CAPTCHA یا بررسی‌های جعلی Cloudflare Turnstile.
- خطاهای مرورگر که ادعا می‌کنند نیاز به یک «اصلاح دستی» (Manual Fix) دارند.
- صفحات جعلی پخش‌کننده ویدیو یا دانلود نرم‌افزارهای محبوب.
- صفحات پشتیبانی جعلی که از کاربر می‌خواهند دستوری را در Command Prompt یا PowerShell وارد کنند.
چرا این حملات موثر هستند؟
دلیل موفقیت ClickFix این است که دستورات مورد استفاده اغلب از ابزارهای قانونی و Native ویندوز یا مک برای دانلود مراحل بعدی حمله استفاده می‌کنند. همچنین، این دستورات با سطح دسترسی (Permissions) همان کاربری اجرا می‌شوند که دستور را وارد کرده است، که می‌تواند منجر به سرقت اطلاعات یا نفوذ گسترده در شبکه سازمان شود.
توصیه‌های امنیتی برای مقابله
با توجه به گسترش این حملات، رعایت موارد زیر ضروری است:
- هوشیاری در برابر فشار: نسبت به وب‌سایت‌هایی که شما را به اجرای دستورات مجبور می‌کنند (به‌ویژه با استفاده از تایمرهای معکوس) مشکوک شوید.
- عدم اجرای کدهای ناشناخته: هرگز دستوراتی را که از وب‌سایت‌ها یا ایمیل‌ها کپی شده‌اند، بدون درک کامل از هدف آن‌ها اجرا نکنید.
- تایید مستقل دستورالعمل‌ها: پیش از اجرای هر اقدام فنی، آن را از طریق مستندات رسمی یا پشتیبانی معتبر بررسی کنید.
- بررسی محتوای Clipboard: مراقب باشید که وب‌سایت‌ها ممکن است بدون نمایش متن کامل، دستوری را در کلیپ‌بورد شما کپی کنند.
