یک کمپین جدید از حملات ClickFix شناسایی شده است که در آن عاملان تهدید (Threat Actors) از نسخه‌های سفارشی چت‌جی‌پی‌تی (Custom GPTs) برای جعل محصولات معتبر و فریب کاربران جهت اجرای کدهای مخرب روی سیستم‌هایشان استفاده می‌کنند.
مکانیسم حمله و مهندسی اجتماعی
در این سناریو، مهاجمان ابتدا از طریق تبلیغات اسپانسرشده در نتایج جستجوی گوگل، کاربران را به یک Custom GPT با نام جعلی “Plus 5.6” هدایت می‌کنند. این GPT به گونه‌ای برنامه‌ریزی شده است که در پاسخ به درخواست‌های کاربر، لینکی به یک صفحه در Google Sites ارائه دهد. در این صفحه، به کاربران اعلام می‌شود که دسترسی به دامنه اصلی محدود شده و برای ارتقای سرویس یا استفاده از نسخه پشتیبان، باید دستوراتی را در محیط PowerShell اجرا کنند.
زنجیره سرایت و تکنیک‌های فنی
پس از اجرای دستور PowerShell، یک فایل MSI مخرب دانلود شده و زنجیره سرایت (Infection Chain) آغاز می‌شود. تحلیل‌های فنی نشان می‌دهد که این حمله از مراحل زیر تشکیل شده است:
- DLL Sideloading: بدافزار از یک اپلیکیشن معتبر دارای امضای دیجیتال شرکت Canon برای بارگذاری DLLهای مخرب استفاده می‌کند.
- تثبیت در سیستم (Persistence): مهاجمان از طریق ایجاد کلیدهای User Run و تعریف Scheduled Task با نام جعلی “Canon Configuration Reader”، دسترسی خود را در سیستم تثبیت می‌کنند.
- استتار لودر (Loader): در مراحل اولیه، لودر بدافزار در قالب یک فایل صوتی مخفی شده بود تا از سیستم‌های امنیتی عبور کند. این فایل حاوی یک آرشیو پیچیده با صدها پوشه و فایل بود که در نهایت منجر به اجرای یک RAT (تروجان دسترسی از راه دور) می‌شد.
ارتباط با سرور فرماندهی و کنترل (C&C)
بدافزار نهایی برای ارتباط با سرور C&C خود از پروتکل DNS-over-HTTPS از طریق سرویس‌های Cloudflare، Google و Quad9 استفاده می‌کند تا ترافیک مخرب را در میان ترافیک عادی شبکه پنهان نماید.
تغییر در متدهای توزیع
گزارش‌ها حاکی از آن است که عاملان تهدید در موج دوم حملات، متدهای خود را تغییر داده‌اند. در نسخه‌های جدیدتر، به جای فایل‌های صوتی، از بسته‌های Microsoft NuGet برای مخفی کردن لودر و از فایل‌های اجرایی و DLLهای تغییریافته شرکت Stardock برای سرایت استفاده شده است.
